Вообще в Ad должен вестись лог удалённого доступа. На скока я помню по умолчанию он включен. В ивенте в разделе Безопасность остаются логи успешной/отклоненной авторизации Ra и доступа к ресурсам домена.