Если настроен аудит, логи по умолчанию складываются в ЕвентЛог, который лежит, опять же по умолчанию, c:\windows\system32\config\*.evt.

А вообще почитай тут
http://main.soobcha.org/articles/slam/log/
Вполне себе неплохо на доступном языке, но не очень полно.