Seus eventos de logon são exclusivos. Você simplesmente não está olhando para os dados exclusivos.
Cada evento com o ID 4624 conterá, na descrição, um ID de logon (e, se for um logon de domínio, um GUID de logon), nome de usuário e uma série de outras informações detalhadas.
Para correlacionar um evento de logoff (ID de evento 4634) com um logon, você precisará examinar a descrição do evento de logoff e correlacionar a ID de logon com as IDs de logon registradas quando ocorrerem eventos de logon.