можно самому руками настроить
1. включить аудит Администрирование->Локальная политика безопасности->Локальные политики->Политики аудита и включаем политики Аудит входа в систему (Успех, Отказ), Аудит событий входа в систему (Успех, Отказ), Аудит системных событий.
2. при помощи eventtriggers отлавливать нужное событие