O log já deve existir. Tente usar o comando last .
As falhas de login são normalmente registradas pelo syslog em algum lugar como /var/log/messages . É possível grep esse arquivo para falhas de login.
Eu gostaria de escrever um log quando alguém tentar acessar meu computador. (por exemplo, digite login e senha, não importa com sucesso ou não). Eu uso o Arch Linux e o CDM (gerenciador de exibição de console).
ps: Eu tenho strongs suspeitas de que alguém realmente faça isso e, pelo menos, gostaria de saber a que horas isso acontece.