Event ID 23：Session logoff succeeded（Microsoft-Windows-TerminalServices-LocalSessionManager/Operational）

这个 Event ID 实际在磁盘上记录的内容、优先查看的 EventData 字段，以及它在 DFIR 分诊流程中的位置。