Faut activer les audit de sécurité des evenement de connexion/deconnexion dans les GPO, ensuite ca apparait dans le journal sécurité de l'observateur d'evenement.
Par contre ça ne marche pas par IP, mais par nom de machine, et ça devient tres tres vite tres lourd a exploiter si on a pas de soft tiers en plus pour ça.