Nos sistemas RHEL e seus derivados, ele registra em /var/log/secure
e, em derivados do debian, /var/log/auth.log
.
Quando você usa o sudo para executar operações no nível de raiz, onde ele faz o log-in no ubuntu?
Eu não vejo entradas no syslog.