[mxm199]

Разобрался, вот так

Код:

wevtutil qe Security /rd:true /f:text /q:"*[System[(EventID=4663 or EventID=4656) and TimeCreated[timediff(@SystemTime) <= 86400000]]]"

86400000 - миллисекунд в сутках

Может кому пригодится