Você também pode tentar o lsof ("list open files"). Existem métodos para especificar o que você deseja ver, por exemplo, apenas coisas com conexões TCP, apenas coisas em um processo específico ou um diretório específico, etc.
Isso só lhe dá o que está acontecendo naquele momento, mas se algo está mastigando isso por si só, ele deve ser capaz de apontar você na direção certa.