Você pode filtrar o arquivo de log seguro (supondo que esteja apenas verificando o login remoto). O arquivo de log seguro informa quando um usuário efetua login e logout. Verifique também o comando lastlog, bem como os arquivos wtmp e utmp. Eles conterão dados históricos para logins de usuários.