タイトルがすべてを物語っています。特定のユーザーがいつどのように無効にされたのかを調べようとしています。
答え1
事前にアカウント管理アクティビティの監査を有効にしておく場合、その方法についてはこちらをご覧ください。http://technet.microsoft.com/en-us/library/cc731607(v=ws.10).aspx
答え2
Active Directory を備えた Windows Server2008 を使用していると想定しています。
ドメイン コントローラのイベント ビューアー (コントロール パネル > 管理ツール > イベント ビューアー) をチェックし、セキュリティ イベント ログを調べることで、ユーザーを無効にしたユーザーを見つけることができます。ソースが「Microsoft Windows セキュリティ監査」で ID が「5136」のイベントを確認します。イベントの詳細には、無効にされたユーザーの DN と、操作の日時が表示されます。