А я бы повесил микро-сервис на каждый ПК, который бы висел коннектом к серверу на домене
1) Если ПК выключили жёстко - разрыв коннекта произойдёт без посылки ПК FIN-пакета
2) Если завершение плавное - завершение коннекта будет с FIN-пакетом
Всё - в серверной части мониторим тех кто дропнулся неправильно (таймаут отключения указываем который нам надо - а то там большой по дефолту), далее пишем в тот самый лог АД информацию либо пишем отчёты, шлём на мыло
Памяти на конечных ПК надо в пределах метра (и это верхняя границы), загрузки процессора и сети ноль (просто один висящий TCP-коннект)