Для форензик-анализа "живой" Винды (особенно если есть права администратора) может хватить обычной командной строки и журнала событий. Или Powershell - для продвинутых.
Полезные команды:
📍net user - перечисляет пользователей системы и даёт информацию по каждому, если указать имя. Можно также активировать/деактивировать УЗ, указать разрешённое время для входа и список рабочих станций, расширять описание и т.д.
📍schtasks - выводит все имеющиеся задачи, которые можно фильтровать (например, по статусу: запущен или нет) с помощью findstr. На самом деле не особо удобно, так как строки заворачиваются и получается какая-то каша, поэтому проще залезть в С:/Windows/System32/Tasks и увидеть там xml-файлы, соответствующие всем ныне активным задачам. В файлах также можно найти их подробное описание: что, когда, на какой порт и т.д.
С помощью schtasks также можно управлять задачами, но опять, зачем извращаться, если можно запустить Task Scheduler.