Abgesehen davon "sudo bash" und du weisst genausoviel oder wenig als vom Blick in /var/log/secure von welcher IP sich "root" per SSH mit seinem Key angemeldet hat und wenn du "sudo" nicht extrem kastrierst siehst du in deinen Logs auch nur das was ich dich sehen lassen will es sei denn es gibt einen eigenen Logserver auf dem ich nicht ebenfalls "sudo" ausführen darf

Und nein 2018 meldet sich ein Administrator nicht mehr lokal mit einem Passwort an, lokalen Zugriff braucht man noch nichtmal um auf bare-metal das OS drauf zu bügeln dank IPMI