[__sa__nya]

almobil, включить аудит отказов на контроллере: панель управления - администрирование- политика безопасности контроллера домена- параметры безопасности - локальные политики- политика аудита - аудит входа в систему, аудит событий входа в систему - выставить успех, отказ, аналогично в политике безопасности домена (вдруг служба стартует не на контроллере домена, а на рядовом серввере или рабочей станции, хотя так быть не должно), gpupdate на контроллере домена, на рядовых серверах и раб. станиях - gpupdate /force
Смотреть события: на контроллере домена - пуск-выполнить -eventvwr.msc - правый клик на журнале "безопасность" -свойства - перейти на вкладку "фильтр", оставить галку только на "аудит отказов", затем в этом же журнале смотреть события.