Можно -e trace=open,close,read,write

Можно. Но не нужно. А именно - события open и read очень сильно загадят журнал. Но их ты никак нарушителю преъявить не сможешь. Более того, если нарушитель имеет немного мозгов, то он размажет тебя за такую предъяву как последнего лоха и будет совершенно прав.
А именно - аудит чтения файлов имел смысл тогда, когда деревья были большими, а компьютеры еще больше.  Сейчас-же производители программного обеспечения, графических файл-менеджеров, пошли настолько навстречу тупому юзеру, что предлагают насладиться ему видом миниатур содержимого файлов в каталоге в окне своих файл-менеджеров. Простой вопрос - эти миниатюры Дух Святой навевает? Или файл-менеджер незатейливо перебирает все файлы в каталоге, открывает их по очереди, считывает определенные (в зависимости от mime-типа файла) структуры и строит эти миниатюры.
И вот ситуация, ты, крутой такой весь из себя, засек, что кто-то прочитал файл. И начинаешь его прилюдно строить. А этот нехороший некто уличает тебя в незнании основ работы гуевых файл-менеджеров, говорит, что ничего он не читал из такого каталога, а только случайно его открыл. Чем и породил поток событий открытия-чтения файлов. И что, мол, ты сам, админ, - лох, так как если нельзя мне туда ходить, то почему есть у меня такая возможность?..
Одним словом - предъява гнилая, судебной перспективы не имеющая. Так как вылавливать из потока обозревательных открытий открытие файла умышленное... Ну, не самая тривиальная задача. Надо события по временам разносить, исключать одиночные в блоке события (ФМ читает файл только один раз) и так далее... Сложно всё это.

Можно -e trace=open,close,read,write

Допустим есть директория с кучей поддиректорий и файлов, некое ПО изменяет часть содержимого текст. файла или бинарного, как и чем определить в каких файлах произошли изменения ?

Кстати, а с какой целью интересуетесь? У вас стоить цель аудита некоей файлопомойки без принципиальноого измененения её концепции?
Или Вы пытаетесь организовать что-то вроде контролируемого (аудируемого) архива документов, где все шаги юзерей протоколируются? То есть - что именно хотите построить?
Если цель - просто обеспечить контроль целостности файлов, то стандартный путь - вести базу дайджестов и с помощью inotify перехватывать некоторые файловые события.
А если цель - создание корпоративного архива документов, то погуглите в сторону alfresco. Много чего умеет, но в части аудита регистрирует отдельно кто файл посмотрел, кто файл изменил и так далее.  Там много интересных ништяков имеется.

Мое резюме такое - не стоит изобретать велосипеды.

А так... inotify-tools вам в помощь =).

Допустим есть директория с кучей поддиректорий и файлов, некое ПО изменяет часть содержимого текст. файла или бинарного, как и чем определить в каких файлах произошли изменения ?

Вычислять MD5-дайджесты и сравнивать с ранее запомненными значениями. Можно обойтись и CRC32, но оно сильно коллизионно и там без проблем можно спрятать изменения. С MD5-дайджестом такое не пройдет. Это классический подход к оффлайновому обеспечению контроля целостности.
Ну, можно и initifywait использовать. Там сразу будешь получать события файловой системы и знать, какой файл кто трогал. Это уже в онлайне.