Когда работал компьютер
last -x | grep reboot
Какие файлы открывал
~/.local/share/recently-used.xbel
Какие команды вводил в терминале
~/.bash_history
Какие программы устанавливал
/var/log/apt/history.log
Историю использования браузера надо смотреть в самом браузере.
Но это стандартные возможности системы, досканального наблюдения за пользователем не установлено.
Если пользователь загружался с флешки, то никаких следов его деятельности не будет.