Os arquivos em /tmp devem ser removidos automaticamente a cada reinicialização.
Encontrar o culpado geralmente é um processo que leva várias etapas.
Sugiro que comece com
du -sh /*
para obter uma lista dos diretórios em / com seu tamanho ( -s : soma acima, -h : legível por humanos)
Então você desce para o maior diretório e repete.
du -sh /var/*
e assim por diante. ( /var contém /var/log que pode ficar bem grande)
Se houver mais de alguns subdiretórios em um diretório, a comparação visual se tornará difícil. Neste caso, use algo como
du -s /usr/* | sort -nr
para obter os maiores diretórios no final da saída (tamanho não tão legível quanto com -h )