¿Cuál es la mejor manera de obtener datos sobre el primer inicio de sesión diario?

Todo se trata de la rotación de registros. Usted puede (o no) rotar sus registros semanalmente o mensualmente, dependiendo de su distribución.

No sé cómo funciona Ubuntu, pero es muy probable que tengas un /var/log/auth.log.N.gz donde “N” es un número incremental. Si este es el caso, puede descomprimir cualquiera de ellos y usarlo como:

zcat /var/log/auth.log.2.gz

… Y así.

Si quieres saber cómo se rotan tus registros, esto puede ayudar:

grep -R auth.log / etc

La mayoría de las veces, encontrará dichos ajustes aquí:

/etc/logrotate.d/rsyslog

Pero como se indicó anteriormente, está basado en la distribución, por lo que puede variar en Ubuntu.

¡Aclamaciones!