Eu entrei no trabalho e descobri que minha área de trabalho mudou e os aplicativos foram encerrados. Existe uma maneira de determinar quando meu computador foi desbloqueado?
Como mencionado acima, você pode usar o Visualizador de eventos para ver quem efetuou login. Você provavelmente desejará verificar qual ID de evento será filtrada, por exemplo, 4624 ( link ) e, em seguida, localize as últimas entradas que não correspondem ao seu nome de usuário.
Clique com o botão direito em Segurança e selecione "Filtrar registro atual"
Em vez de inserir o número do ID do evento desejado, por exemplo, 4624
Clique em OK
Você pode executar o comando gwmi win32_userprofile -ComputerName computer_name_here no powershell, o que gerará uma lista de perfis de usuário, caminhos, SIDs, tempo de login etc. O que você deve analisar são: LastUseTime e LocalPath variáveis. Ambos vão te dar pistas sobre quem logou e quando.
Tags logging windows-8.1