df,du показывают разное — может быть 5% резерва под рута остаются?
Не очень понял какое средство вы ищете. du вполне себе вменяемое средство, меряйте /tmp, /var/log, /home, возможно /opt. ну а там если где очень много — погружайтесь дальше и исследуйте, в итоге найдете кто место скушал.
