При соответствующих настройках политик аудита может генериться событие в секюрити лог. Это если еще дополнительно каких-нибудь примочек нет.

з.ы. админы могут все