Коды событий Windows для запуска / выключения, блокировки / разблокировки

Я пытаюсь составить список идентификаторов событий, которые можно использовать, чтобы определить, когда машина была выключена, запущена, заблокирована и разблокирована. На данный момент я нашел 6 идентификаторов событий, которые кажутся лучшими кандидатами, но мне было интересно, есть ли лучший способ их определения.

Ниже приведен список идентификаторов событий, которые я считаю полезными (1, 1074, 6005, 6006, 4800, 4801) из источников 'Power-Troubleshooter', 'User32', 'EventLog' и 'Microsoft Windows Security Auditing'. . Это из Windows 10 (v1511), и в настоящее время Windows 10 является моим единственным целевым требованием, поскольку это то, что запускают все клиентские машины.

Вот пример запроса фильтра, который я создал,

<QueryList>
  <Query Id="0" Path="System">
    <!-- Shutdown -->
    <Select Path="System">*[System[Provider[@Name='User32'] and (EventID=1074) and TimeCreated[@SystemTime &gt;= '2017-11-28T00:00:00.0000000']]]</Select>

    <!-- Event Service Stop/Start -->
    <Select Path="System">*[System[Provider[@Name='eventlog'] and (EventID=6005 or EventID=6006) and TimeCreated[@SystemTime &gt;= '2017-11-28T00:00:00.0000000']]]</Select>

    <!-- Startup -->
    <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-Power-Troubleshooter'] and (EventID=1) and TimeCreated[@SystemTime &gt;= '2017-11-28T00:00:00.0000000']]]</Select>

    <!-- Machine Lock/Unlock -->
    <Select Path="Security">*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and (EventID=4800 or EventID=4801) and TimeCreated[@SystemTime &gt;= '2017-11-28T00:00:00.0000000']]]</Select>
  </Query>
</QueryList>

Я намеренно разделил источники в запросе, и они могут быть объединены вместе, но это жертвует удобочитаемостью IMO.

Мой вопрос: есть ли лучшая группа идентификаторов событий или лучший запрос, который я могу использовать? Есть ли идентификаторы событий, которые мне не хватает или которые я дублирую?