Dado que você deseja rastrear todos os comandos do usuário, você deve olhar o pacote acct em seu sistema (em alguns sistemas isso também é chamado de "contabilidade de processo" ou psacct ). Então, depois de ser ligado, você pode executar o comando lastcomm para mostrar quais programas foram executados, por quem, quando e por quanto tempo. Do Google, pesquise "linux acct" para mais detalhes.