1С

 если кому интересно - скрипт из ссылки выше не помог (наверно я не разобрался), аудит в принципе пустой (видимо по причине, указанной кем-то еще выше)

Netlogon debugger учетку отловил только 1 раз, но без ip-адреса.

Помогло включение аудита Входа/выхода на exchange сервере, т.к. этот же аудит на КД ссылался на почтарь. Оттуда было увидено, что попытка подключения идет по imap. Однако виндовый журнал не отображает "сеть клиента". Кстати, гранулярное отключение протоколов на ящик через set-casmailbox не возымело эффекта -  блокировки продолжались). 

Дальше был включен imap logging  и там уже получилось увидеть ip-адрес, откуда шли запросы. Это оказалась учетка "встроенной почты" в 1С документообороте, где сотрудница забыла изменить пароль...