Tracing remote povezave

Upam, da vprasanje sodi v pravilen oddelek.
Vprasanje je najbrz n00bovsko, ampak rajsi vprasam.
V timu se gremo malo IT Security-ja. Kolega, admin, se je povezal remote (z psexec) na moj racunalnik in iz mojega racunalnika na moj e-naslov poslal fejkan e-mail.

Hitro sem najdel kdo je bil, saj kolega v event logu ni izbrisal logov. Poleg tega sem videl aktivno psexec povezavo, katero je pozabil ugasniti (sicer ne pomaga veliko, saj ne vem od kod prihaja).

Kje bi lahko dejansko se pogledal, kdo se je prijavil ob doloceni uri, v kolikor bi kolega izbrisal vnose v event logu?

Racunalnika sta v domeni, skupaj na istem subnetu.