todos os eventos do início de uma sessão e do término de uma sessão são seguidos (se você configura GPO ou política de segurança local para seguir eventos do início de uma sessão) no registro de segurança do visor do evento. Para permitir o exame destes eventos configurar um domínio GPO ou uma política de segurança local (funcionando gpedit.msc da linha do funcionamento). Vão à configuração do comptuer - > ajustes de Windows - > os ajustes da segurança - > políticas locais - > políticas do exame.
