Подозрительный вход в систему в средстве просмотра событий

Надеюсь, ты сможешь помочь. Мы заметили, что локальный компьютер другого пользователя создает записи для входа в систему просмотра событий на нашем компьютере.

Получено сообщение «Учетная запись успешно вошла в систему».

Подробности попытки входа в систему представлены ниже (анонимно):

Subject:
Security ID:        NULL SID
Account Name:       -
Account Domain:     -
Logon ID:       0x0

Logon Type:         3

New Logon:
Security ID:        OURDOMAN\SUSPICIOUSID$
Account Name:       SUSPICIOUSID$
Account Domain:     OURDOMAIN
Logon ID:       0x8276c3c
Logon GUID:     {ef03e93f-a27b-c304-92ce-3b244723ccc4}

Process Information:
Process ID:     0x0
Process Name:       -

Network Information:
Workstation Name:   
Source Network Address: IPAddress1
Source Port:        55666

Я попытался подобрать это, используя пакетный скрипт и psfile, но он ничего не улавливает во время входа в систему. Он срабатывает, если кто-то другой выступает администратором, когда мы его тестируем.

Сценарий файла BAtch:

:Start
@echo off
setlocal enabledelayedexpansion
set theValue=x
cd c:/pstools
for /f "delims=" %%a in ('psfile.exe \\MyMachine') do @set theValue=!theValue! %%a
IF not "%theValue%"=="x No files opened remotely on MyMachine." ( echo    %theValue%>>c:/psfileoutput/psfileoutput.txt ) else ( echo "no values" )
timeout 0

Goto Start

Я бы подумал, что успешный вход в систему приведет к какому-то доступу к файлам.

Есть ли у кого-нибудь идеи, что это может быть за вход?

Спасибо

ОБНОВИТЬ:

ОБНОВЛЕНИЕ: Наконец-то получил успех с моим пакетным скриптом:

   x Files opened remotely on MyMachine: [183] \srvsvc User: SuspiciousID$ Locks: 0  Access: Read Write