вот что в журнале:
Имя журнала: Security
Источник: Microsoft-Windows-Security-Auditing
Дата: 18.02.13 8:12:18
Код события: 4634
Категория задачи:Выход из системы
Уровень: Сведения
Ключевые слова:Аудит успеха
Пользователь: Н/Д
Компьютер: serv2
Описание:
Выполнен выход учетной записи из системы.
Субъект:
ИД безопасности: SERV2\пользователь
Имя учетной записи: пользователь
Домен учетной записи: SERV2
Код входа: 0x5d825d58
Тип входа: 3
Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
Xml события:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
<System>
<Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
<EventID>4634</EventID>
<Version>0</Version>
<Level>0</Level>
<Task>12545</Task>
<Opcode>0</Opcode>
<Keywords>0x8020000000000000</Keywords>
<TimeCreated SystemTime="2013-02-18T04:12:18.921078500Z" />
<EventRecordID>453931</EventRecordID>
<Correlation />
<Execution ProcessID="632" ThreadID="1128344" />
<Channel>Security</Channel>
<Computer>serv2</Computer>
<Security />
</System>
<EventData>
<Data Name="TargetUserSid">S-1-5-21-2374555121-3949682706-173923068-1011</Data>
<Data Name="TargetUserName">пользователь</Data>
<Data Name="TargetDomainName">SERV2</Data>
<Data Name="TargetLogonId">0x5d825d58</Data>
<Data Name="LogonType">3</Data>
</EventData>
</Event>
