如何find发送关机命令的PC的IP地址？

将我的意见/想法转换成答案。

看来你已经给了所有的学生：

• 对所有计算机进行pipe理控制。
• 通过允许他们共享相同的pipe理员帐户匿名。

在典型的课堂环境中，这可能是次优的configuration。

尽pipe您声称学生不是计算机上的pipe理员，但默认情况下，只有pipe理员组才有权强制从远程系统closures计算机。 检查适用的本地安全策略或组策略中的用户权限分配类别：

现在，为了更直接地回答你的问题 ，现在计算机上可能没有足够的取证证据来确定关机命令是从哪个计算机发出的。 可以启用更多日志logging，以便将来捕获这些事件，但现在启用此类日志logging将无助于您查明过去发生的事情。 具体来说，我认为这将帮助您的日志logging在“高级审核策略”部分（这些仅仅是示例，而不是详尽的清单）

• 审核RPC事件
• 审计筛选平台连接（Windows防火墙）

远程关机使用RPC，所以肯定会显示一些东西。 而Windows防火墙允许入站连接时logging将绝对会给你一个IP地址。 你将能够关联事件。

以下是configuration高级审核策略的分步指南：

https://technet.microsoft.com/en-us/library/dd408940%28v=ws.10%29.aspx?f=255&MSPPError=-2147217396

编辑 ：更新以确认从Windows 8.1起，事件日志实际上包括启动closures的远程系统的IP地址。 （默认情况下，不必启用任何额外的日志logging。）但是我不知道旧版本的Windows是否包含IP地址。