Аудит файлов в линукс

Сходу не нашел. А какая у тебя конечная цель?

А на экран не пробовал смотреть?.. Apt там подробно все пишет. Позже, можно все прочитать в логах-журналах.

Второй вариант. Запускаешь «живую систему» в режиме «persistent». Все изменения будут в файле-разделе «persistent».

auditd

Как я понял ТСа, он хочет знать, какие файлы apt меняет. То есть через auditd за этим можно следить, конечно, но не перебор?

Ничего такого он не пишет. Он пишет, какие пакеты поставит или обновит, но не список меняемых файлов.

какие изменени я в системе происходят при команде apt update

Запусти через strace, например

Если только какие файлы были затронуты, то может быть fswatch натравленный на корень

Если ещё и что в них было изменено, ну бэкап сделать, а потом по списку от fswatch diff посмотреть

Да все так

И это тоже

Не, ну можно ограничиться strace, конечно. Но раз уж ТС упомянул слово «аудит», он явно хочет рассмотреть всё тщательно. Отдельные инструменты проще, но они нацелены на отдельные аспекты происходящего в системе. Потому они и проще.

Есть вот такая штука, только у меня она не взлетела, все нет времени разобраться но очень хочется. Хочется т.к. решает задачу «в общем случае», т.е. собирает изменения после выполнения любой команды https://github.com/binpash/try

Сделай инкрементальный бекап после апдейта и посмотри на дельту

А инструмент порекомендуешь?

Снапшоты btrfs

git