/var/log/apt/history.log* contém registros de todas as atividades de apt , incluindo o nome de usuário do usuário que está solicitando a alteração (que só é útil se você usar sudo , não root diretamente).
Já existe alguma integração entre rkhunter e apt ; veja /etc/apt/apt.conf.d/90rkhunter no seu sistema. Se você deseja que isso seja ativado, é necessário alterar APT_AUTOGEN em /etc/default/rkhunter para true .
Você também pode adicionar seus próprios trabalhos de pré ou pós-instalação, por exemplo, para executar uma verificação imediatamente antes da instalação ...
A parte de "melhor prática" da sua pergunta é muito ampla para esse local. Por fim, alguns argumentam que você só deve fazer alterações em seus sistemas usando uma ferramenta como Ansible, que fornece seus próprios logs de todas as alterações.