Se sono abilitate le policy di auditing nel registro eventi protezione allo sblocco del computer vengono inseriti gli eventi 680, 528, 576 e 538 (abilitando solo quelle del post che ti ho linkato probabilmente verranno aggiunti solo il 528 e il 538).