Você precisará de permitir eventos do início de uma sessão do exame na política do grupo então que você pode usar o eventcombMT para filtrar os eventos required fora do registro de evento (disponível como parte de seguinte transferência)
http://www.microsoft.com/downloads/details.aspx?familyid=7af2e69c-91f3-4e63-8629-b999adde0b9e&displaylang=enVocê terá que então examinar os eventos individuais (540, etc.) Alternativley que você pode a encontrar mais fácil fazer o seguinte:
http://support.microsoft.com/kb/556015 (certificados do início de uma sessão/término de uma sessão)