¿Hay registros o campos dentro de los registros que indiquen cuándo se inició y estableció la conexión? Dentro del ID de evento 4624 hay un TimeCreated [SystemTime]campo, pero espero auditar cuánto tiempo lleva conectarse, no solo el momento en que se estableció la conexión.
Estoy ejecutando Windows Server 2012R2 y algunos 2008R2 que se descontinuarán, y estoy ejecutando la mayoría de clientes ligeros de Windows 8 y Windows 10.