じゃあ、あんたの知りたいのはloginじゃなくてauthenticationじゃないのか?
そっちならpamで引っ掛けるか/var/log/auth.logとかを見張れば?
どんなシステム組んでんのか知らんが、
もし認証後起動するプロセスが/bin/bashだけとは限らないんならなおさら。