y … cómo se ve / consulta (en Linux) la hora a la que un usuario se conectó por SSH?

Puedes hacerlo de varias formas:

En ubuntu, leer el archivo /var/log/auth.log, o buscar directamente sobre este archivo con grep, algo como /var/log/auth.log | grep "Accepted", si necesitas solo la fecha cat auth.log | grep "Accepted" | awk '{ print $1, $2, $3 }'

En Centos: Puedes buscar en /var/log/secure

Puedes ver quien ha realizado logins exitosos usando last y ver los intentos fallidos con sudo lastb.