где посмотреть логинился ли user?

Для начала попробуй

less /var/log/messages

потом через конвеер ставь grep и да будет тебе счастье.

Команда last читает базу wtmp.

last -25 - выводит последние 25 записей.