sudo регистрирует дату с локалью пользователя, по-видимому. Как я заставляю его использовать локаль “C”?

Прием к знанию наверняка, где пользователи продержались, вошел в систему кроме предложений от Adam, агрегирование журнала. Если Вы имеете несколько контроллеров домена Вы или должны проверить их всех, или централизовать Ваш вход и затем проверить единственный журнал.

Некоторые, возможно, даже большинство, сторонние инструменты достаточно умно для запросов всех контроллеров домена. Но если Вы думаете о записи сценария для парсинга его сами, я не могу спорить достаточно сильно для централизации журналов.