No linux, logins e logins com falha são registrados em formato binário em / var / log / wtmp e / var / log / btmp, respectivamente. Para visualizar esses logs em formato legível, você precisa usar o comando last ou lastb . Você também pode verificar seu /var/log/auth.log (que é texto sem formatação) para tentativas de autenticação com êxito / com falha.
No OpenBSD não há / var / log / btmp, mas o último comando funciona. Além disso, o authlog está em / var / log / authlog.
No Solaris, o último comando funciona, mas (pelo menos no sistema que eu tenho acesso) o authlog parece estar vazio.