O /etc/profile é executado pelo bash toda vez que um "shell de login"
é executado. Talvez o ksh execute o /etc/profile também - não tenho
certeza no momento.
A dúvida é: Quem executa um "shell de login"? Teve uma discussão bem
longa nesta lista sobre isso a pouco tempo. Veja os arquivos da lista.
No meu ponto de vista, sua solução não é boa porque alguém usando
interface gráfica sem chamar um bash não acionaria o seu script (no
/etc/profile). Por outro lado um usuário pode chamar vários "shell de
login" num única sessão. De qualquer forma, não consigo pensar em nada
que executaria o /etc/profile sem um usuário associado.
Para saber quem andou usando a máquina, é preferível usar o comando
"last". Ele não resolve o seu problema?