Hola.
En primer lugar no soy muy partidario de utilizar cookies. Imagínate que un usuario las tiene deshabilitadas. ¿Que ocurre entonces? Pues que adios al invento de la autenticación.
Lo que tienes que hacer es utilizar como bien dices sesiones.
Para ello lo que debes hacer es comprobar si el usuario y password introducidos coinciden con los de tu base de datos, en tal caso si todo es correcto, creas una sesión con session_start("variable") = "SI"
Con la linea anterior le indicas que inicialice una sesión a la que le has dado un nombre de variable (la que tu quieras) con un valor.
A continuación redireccionas a tu página donde ya deberás comprobar en la cabecera si la sesión ha sido inicializada, si es afirmativo mostrará el contenido, en caso contrario puedes volver a redireccionar a la pagina de validación o bien mostrar un mensaje de error.
En
www.desarrolloweb.com ve a monografías > PHP y ahi en el taller tendrás un sistema de autenticación que utiliza sesiones. Está bastante clarito y comprensible.
Espero haberte ayudado. No obstante para cualquier duda, ya sabes donde encontrarnos.
Un saludo
P.D. Se me pasó comentarte: para lo que has pensado es exactamente como funciona. Si la sesión está creada es porque la validación ha sido correcta.