Однажды искал восемьдесят гигабайт почти час. Проверил Docker, логи, домашние каталоги — везде понемногу. В конце оказалось, что старый экспорт лежит внутри каталога, который я считал точкой монтирования. Диск давно не был примонтирован, а файлы спокойно писались на корневой раздел.
Сейчас начинаю так:
ncdu -x -r /var-x не даёт переходить на другие файловые системы, а -r включает read-only режим. Для полного корня путь меняется на /; сканирование больших деревьев может заметно нагружать диск, поэтому на занятой машине я не запускаю его бездумно в рабочий пик.
Самый большой каталог ещё не означает мусор. Перед удалением смотрю владельца, время изменения, открытые файлы и конфигурацию сервиса. Особенно осторожно отношусь к базам, образам контейнеров и каталогам с именами cache: название ничего не обещает.