ID do evento de registro de segurança do Windows 4657 informará quando alguém editar uma chave do Registro , então você pode procurar por isso no seu Visualizador de Eventos. A única ressalva para isso é que você precisa ativar a auditoria primeiro. Veja isto para ativar a auditoria para ambientes de domínio e grupo de trabalho.
Este é também um link da Microsoft que suporta o método da techtarget.com.