<Select Path="Security">*[EventData[Data[@Name='subjectUsername']='ИмяПользователя'] and TimeCreated[@SystemTime>='2022-11-23T17:00:00.000Z' and @SystemTime<='2022-11-23T17:35:00.999Z']]</Select>
*[System[TimeCreated[@SystemTime >= '2022-11-23T17:00:00.000Z' and @SystemTime <= '2022-11-23T17:35:00.999Z']]]
в фильтрах безопасности должны быть группы компьютеров (или имена компов), а в делегировании добавить еще "Прошедшие проверку" с правами READ- да
- можно настроить и так, и так...
Вопрос, скорее, в реальной необходимости использования почтового домена two.exchange.test