для полноценного логирования действий пользователей использовать демона
auditd
в остальном как повезет.
1. sshd пишет соответвующую строчку в системный лог. tty кажись тоже.
2. оболочка никаких команд не логирует. по идее, команды пользователя оболочка сохраняет в history, но он доступен пользователю на очистку и удаление. плюс пишутся не все команды, к примеру, наличие пробела в начале команды или несколько сессий оболочки одновременно.
3. никак. sudo в принципе запишет запуск оболочки в сислог. однако команды он уже не видит, ну а оболочка смотри пункт 2.
4. смотри /var/log/apt/history.log