¿Hay alguna manera de saber quién deshabilitó a un usuario y cuándo en Windows Server?

El título lo dice todo. Estoy tratando de averiguar cómo y cuándo se deshabilitó un usuario en particular.

Si tiene la auditoría habilitada para las actividades de administración de cuentas con anticipación. Más información sobre cómo hacerlo aquí: http://technet.microsoft.com/en-us/library/cc731607(v=ws.10).aspx

Supongo que está utilizando Windows server2008 con Active Directory.

Puede encontrar quién deshabilitó a un usuario comprobando el Visor de eventos en el Controlador de dominio (panel de control> herramientas administrativas> visor de eventos) y mirando el Registro de eventos de seguridad. Verifique los eventos con la fuente "Auditoría de seguridad de Microsoft Windows" e ID "5136". En los detalles del evento, puede encontrar el DN del usuario que ha sido deshabilitado junto con la fecha y hora de la operación.