Как на Linux делается аудит пользователей?
У системных юзеров uid меньше определенного числа. В линухе это по-моему 500, во FreeBSD - 1000. Все юзера с uid ниже этого числа - системные либо демоны, выше - обычные пользователи (хотя демоны тоже могут завести юзера с uid выше границы).
Для начала поиском файлов принадлежащих пользователю:
find / -user some_user