Você verificou a saída de "last", talvez seja suficiente?
server ~ $ last
root pts/0 10.31.1.162 Fri Dec 11 10:35 still logged in
root pts/0 10.31.1.162 Thu Dec 10 11:12 - 11:22 (00:09)
root pts/0 10.31.1.162 Thu Dec 10 09:19 - 11:09 (01:50)