Есть такая библиотека, snoopy, перехватывающая системные вызовы execv() и execve(), сохраняя все данные в лог. Запускается snoopy через /etc/ld.so.preload, работает незаметно для пользователей и процессов. Ее и настроим на рабочем сервере с debian. root@someorg:/etc # cat /proc/version Linux version 3.16.0-5-amd64 ([email protected]) (gcc version 4.8.4 (Debian 4.8.4-1) ) #1 SMP Debian 3.16.51-3+deb8u1 (2018-01-08) Установка snoopy Вообще установить snoopy можно из стандартных репозитариев, используя apt…