Слежение за root и /, каким образом организовать?
включайте аудит. есть пакет inotify, есть простая проверка на хэш-суммы
sudo + rsync. Можно попробовать, sudo кто и что делал, rsync собирать изменения в файлах.