Как я могу отследить источник повторной блокировки учетной записи на сервере Exchange?

У меня есть учетная запись пользователя AD, которая многократно и часто блокируется, я смог отследить блокировку до массива CAS сервера Exchange. Однако я не знаю, как продолжить расследование. Журналы событий на серверах Exchange (2013) показывают, что блокировка была получена из msExchangeFrontEndTransport.exe, но не указывает, из какого источника был получен исходный запрос аутентификации. Я действительно хотел бы знать любое из следующего (чем больше, тем лучше): источник аутентификации IP / имя компьютера, источник метода аутентификации (например, веб-почта, activesync, клиент Outlook и т. Д.).

Журнал событий из того, что мне удалось раскопать, не указывает ничего, что могло бы помочь отследить точку происхождения неправильного запроса аутентификации. Я на 90% уверен, что исключил любое из портативных устройств пользователя, так как в какой-то момент мы отключили все устройства пользователя, и блокировка все еще произошла, это происходит уже несколько недель с более чем 600 попытками аутентификации в день. . Я переименовал учетную запись пользователя в качестве обходного пути, но я действительно хочу определить, откуда это происходит, в целях безопасности. Это единственный аккаунт, который страдает подобным образом. Благодарим за любую идею!