Как получить исходные события входа и выхода из журнала безопасности?

Журнал событий Windows воспринимает с точки зрения сеансов, а не физический вход в систему или выход из системы, как мы думаем. Например, событие выхода из системы может вызываться, когда ресурс, с которым пользователь вошел в систему, использовал тайм-аут из-за неактивности. Не уверен, что вы можете полагаться на журнал событий Windows для исторической отчетности о событиях физического входа/выхода из системы.

Другим вариантом могут быть свойства Active Directory lastLogoff и lastLogon, связанные с объектом пользователя. Но тогда это даст вам только самое последнее время выхода из системы или время входа в систему. Если это соответствует вашему сценарию, см. Этот пример, чтобы прочитать это свойство.

Для исторической отчетности вам, по крайней мере, нужно будет убедиться, что аудит включен. Затем вы можете добавить простые однострочные сценарии входа и выхода из системы, которые записываются в файл журнала каждый раз, когда пользователь физически входит в систему или выходит из нее. Подробнее об этом читайте в этой статье в KB.

Наконец, вы также можете использовать сторонний продукт под названием Active Directory Audit от ManageEngine.