Eu só conheço uma receita do systemtap . Belamente básico, mas talvez alguém habilidoso possa melhorá-lo.
Caso contrário, você pode dar uma olhada em conspy
. Eu sei que você usa Debian, apenas apt-get it. Ele só tem acesso ao console, não ao ssh.
ttysnoop
é bom, mas, como você disse, precisa ser instalado primeiro.