Login logfil, hvad skal med?

Jeg er igang med at lave en hjemmeside hvor man skal kunne logge ind på et admin område, og i den forbindelse er jeg igang med at lave det så den generere en logfil for hver dag med login forsøg.

Jeg er dog rendt ind i et stort problem, for jeg har ærligt talt ikke rigtigt nogen ide om hvad der skal med og hvad man kan undvære?

Jeg har overvejet at logge:
Dag/tidspunkt(Server og lokalt), Ip adresse, Login info(brugernavn og kodeord, dog kun hvis login er forkert) og om login lykkedes(lykkedes det, logger jeg kun navnet på den der er logget ind).

Ip adressen er vel kun brugbar hvis en bryder ind og man laver en sag ud af det, for man skal vel igennem udbyderen osv for at finde ud af det?

Ville det være smart at logge brugernavn og kodeord også selvom login lykkedes? Jeg tænker her på hvis der bliver brugt noget a la sql injections (som man ikke har taget højde for). Gemmer jeg logfilerne udenfor roden burde folk jo ikke kunne få fat i dem?

Virker det helt forkert det jeg har gang i, og er der noget jeg har overset som er vigtigt?

MVH Brian