Обычно по журналам самого компьютера. Windows записывает входы через удалённый рабочий стол отдельным типом входа с адресом источника; программы удалённого доступа ведут собственные журналы подключений, а их сервисы иногда хранят историю сеансов на своей стороне. На серверах с Linux входы по SSH отражаются в системном журнале.
Если журналы не очищены и не перезаписаны, можно установить время сеансов, учётную запись и адрес, с которого шло подключение, а по другим следам на диске — какие программы и файлы открывались в это время. Если подключение шло через VPN организации, его журнал покажет, какая учётная запись какой внутренний адрес получала.
Если подключение ещё идёт, не выключайте питание, а выньте сетевой кабель и выключите Wi-Fi. Дальше компьютер до исследования не используйте и не перезагружайте: каждый новый вход добавляет записи и вытесняет старые. Разбор того, что делали на самом устройстве, ведут средствами экспертизы обстоятельств использования компьютерных средств.