Как мониторить «нормальное» выключение АРМов?

Компьютер, который был внезапно похищен инопланетянами (или жестко обесточен) для AD в этот самый момент ничем не отличается от тех, что в сети, т.к. AD очень редко запрашивает о чем-либо клиентов (у разных служб разные интервалы и таймауты, но ЕМНИП там дельты порядка 15 минут, и клиенты сами стучатся тоже редко).

Мне неизвестны иные способы, либо при штатном отключении шлем сообщение, либо пост-фактум централизованно анализируем Event Log (включение/перезагрузку после обесточивания сама винда локально определяет и отражает в логах разными EventID).

А зачем это нужно делать? Хотите наказывать тех, кто выключает ПК рубильником, а не Пуск-Завершение работы? Или просто хотите, чтобы все ПК выключались после ухода работников с работы?
В последнем случае может стоит рассмотреть вариант автоматического выключения ПК в определённое время суток (например, в 22:00, когда никто гарантированно не работает)?

Константин Городецкий: Книги не пробовали писать? Желательно детективы. Если честно то очень печально видеть в вашем запросе "как это сделать попроще". Анализ логов является частью работы администраторов. Вот расскажите каким макаром, по вашем мнению, обесточенный компьютер успеет послать сигнал что у него внезапно!!!!! пропало электричество? Прикиньте у вас сердце остановилось. Вы невозмутимо достаете телефон .... звоните 003 ... дожидаетесь приема заявки .. и умираете . Для того чтоб снимать логи о питании, нужен умный пилот. С прошивкой, айпишником и умением работать в сети. Тот же самый prtg известит вас хоть смс-кой о неполадке. Сможет сказать откуда пришла неполадка. Вот только одна беда!!! Ему нужно умное оборудование на всех этапах съема информации.

Подумайте в сторону Intel AMT. Там вроде есть возможность при соответствующей настройке мониторить выключенные ПК на стендбае.

А я бы повесил микро-сервис на каждый ПК, который бы висел коннектом к серверу на домене
1) Если ПК выключили жёстко - разрыв коннекта произойдёт без посылки ПК FIN-пакета
2) Если завершение плавное - завершение коннекта будет с FIN-пакетом

Всё - в серверной части мониторим тех кто дропнулся неправильно (таймаут отключения указываем который нам надо - а то там большой по дефолту), далее пишем в тот самый лог АД информацию либо пишем отчёты, шлём на мыло

Памяти на конечных ПК надо в пределах метра (и это верхняя границы), загрузки процессора и сети ноль (просто один висящий TCP-коннект)