Access Logs посмотри.
где находиться он?
.:HarDsTyLe:., who -H активные авторизации а авторизации "пишутся" в /var/log/secure