Monitorizar la actividad de un usuario en un directorio con lsof

# lsof -u root -a +D /etc

Vía commandlinefu