Uma combinação dos logs do IIS no servidor do OWA e o Log de Eventos de Segurança no (s) Controlador (es) de Domínio onde os logons são validados fornecerão todos os detalhes que você está procurando. Provavelmente, você pode obter tudo o que deseja apenas do log do IIS, mas os artefatos da tentativa de logon estarão presentes em ambos.
Naturalmente, isso pressupõe que seus controladores de domínio tenham uma política de segurança sã que audite eventos de logon bem-sucedidos e com falha e que você tenha o log do IIS em execução no servidor OWA. Obviamente, se você não está registrando as coisas, então não há para onde procurar.