Como o @HBrujn sugere, eu pesquiso por arquivos grandes:
for i in /var/lib/*; do echo $i; find $i |wc -l; done
Eu notei que os arquivos de sessão do php5
/var/lib/php5/
Onde eu executo este código para remover o antigo arquivo de sessões (+1 dia)
now=$(date +%s); time for i in /var/lib/php5/sess_5*; do if ((($(stat "$i" -c '%Z') + (86400 )) < $now)); then rm -fv $i; fi; done