Você não pode fazer isso sem pausar o processo (ou seja, você sempre pode anexar um depurador como gdb e tentar trabalhar com isso, mas o processo é pausado e todo o trabalho acaba acontecendo). A versão do TLS não é salva em nenhum outro lugar além de onde o processo a coloca. Não é uma coisa do SO.
Se você iniciou um pacote de coleta tcpdump ou tshark antes de a conexão ter sido iniciada, a versão do TLS ficará visível no segundo pacote. A versão do TLS é sempre transferida sem criptografia.