узнал сегодня про такую тулзу

https://code.facebook.com/posts/844436395567983/introducing-osquery/

позволяет ходить в procfs при помощи sql-like запросов

#osquery