Une bonne information sur le lastlog, c'est un sparse file : la taille affichée n'est pas la taillé réellement consommé.
Seuls les blocs réellement utilisé sont consommés.

du -h /var/log/lastlog
du -h --apparent-size /var/log/lastlog
ls -lsh /var/log/lastlog

Quand la machine est connecté à un AD avec plusieurs milliers d'entrées....