Os eventos de logon estão no visualizador de eventos em Segurança. Não acho que o bloqueio da área de trabalho seja auditado.
O Windows XP mantém um registro dos eventos de login e bloqueio de tela? Se sim, como posso visualizá-lo?
Se esses eventos são auditados é outra questão. Não me lembro dos padrões. Para garantir, vá para o Painel de Controle, Ferramentas Administrativas e execute as Configurações da Política Local. Lá, sob políticas de auditoria, há dois eventos de login diferentes listados. Ativar sucesso e fracasso para ambos.
Em seguida, no Gerenciador de computadores, clique com o botão direito do mouse no log de eventos de segurança e expanda seu tamanho para 8 MB e defina Sobrescrever conforme necessário (a menos que você realmente DEVE SABER e, em seguida, selecione não sobrescrever). 8MB devem fornecer sobrecarga suficiente para garantir que os eventos estejam lá quando você procurar.
(ATENÇÃO: não ative o 'acesso ao objeto de auditoria' com sucesso. Isso gerará um evento para cada acesso de chave de registro e arquivo e provavelmente o levará a um rastreamento.)
\\ Greg
Pode haver mais algumas dicas e sugestões nesta pergunta:
Tags windows-xp login logging