Guarda cosa è indicato in /etc/ssh/sshd_config
codice:
...
# Logging
SyslogFacility AUTH
LogLevel INFO
...
Poi vedi quali destinazioni sono impostate per questi messaggi in /etc/syslog.conf

ciao