Quien uso en un equipo, el comando Shutdown ?

Estamos dentro de una red de diferentes segmentos de ip, como podriamos saber
que persona A fue la que envio el comando shutdown a traves de la red interna
para apagar la maquina de la persona B, hay algun lugar donde se guarden
estos eventos o donde podamos saber que ip xxx, xxx, xxx, xxx fue la que
envio el comando, ya descartamos que sea algun tipo de virus que hace eso
desde la misma maquina. en el visor de eventos solo aparece el evento del
shutdown pero no de donde se origino

de antemano muy agradecido...