Talvez a contabilidade do processo do usuário (conforme fornecido pelo pacote 'acct') possa ajudar.
Este é o URL da conta: link
O comando que você usaria é 'lastcomm' (último comando).
Aqui estão algumas entradas de blog que descrevem como a contabilidade do processo pode ser usada: