PowerShell: inicios de sesión fallidos y quién entró

Inicios de sesión fallidos (evento 4625) de las últimas 24 horas (como administrador):

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} |
  ForEach-Object { [pscustomobject]@{ Hora=$_.TimeCreated; Usuario=$_.Properties[5].Value; IP=$_.Properties[19].Value } } |
  Group-Object IP | Sort-Object Count -Descending

Inicios de sesión correctos (4624), cambios de usuarios (4720 creado, 4732 añadido a un grupo) y borrado del registro (1102):

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720,4732,1102} -MaxEvents 50 | Select-Object TimeCreated, Id, Message

Muchos 4625 desde la misma IP en poco tiempo es un ataque de fuerza bruta.