Como descobrimos quem usou a conexão de administrador dedicada

O SQL Server não mantém essas informações em nenhum lugar; se você está tentando pegar alguém abusando do DAC, tire o administrador do sistema das pessoas que claramente não deveriam tê-lo, ou pelo menos configure algum tipo de mecanismo de pesquisa para pegá-los. Você pode ter uma tabela assim:

CREATE TABLE dbo.DBA_DacAccess
(
  ConnectTime      datetime,
  FirstObservance  datetime2 NOT NULL DEFAULT SYSUTCDATETIME(),
  LoginName        sysname,
  HostName         sysname,
  AppName          sysname,
  Interface        nvarchar(32),
  ClientNetAddress nvarchar(48)
);

E, em seguida, determine algum intervalo razoável para coletar informações sobre uma conexão DAC sempre que existir e, em seguida, execute o seguinte nessa frequência (usando um trabalho do SQL Server Agent, provavelmente):

INSERT dbo.DBA_DacAccess
(
  ConnectTime, 
  LoginName, 
  HostName, 
  AppName, 
  Interface, 
  ClientNetAddress
)
SELECT 
  c.connect_time, 
  s.login_name, 
  s.[host_name], 
  s.[program_name], 
  s.client_interface_name, 
  c.client_net_address
FROM sys.dm_exec_connections AS c 
INNER JOIN sys.dm_exec_sessions AS s
ON c.session_id = s.session_id
WHERE c.endpoint_id = 1
AND NOT EXISTS 
(
  SELECT 1 FROM dbo.DBA_DacAccess 
  WHERE connect_time = c.connect_time
);

Isso funcionará daqui para frente, mas você precisa ter sorte (ou pesquisar com frequência) para pegá-los se eles estiverem entrando e saindo rapidamente, então você pode querer ajustar esse cronograma. Além disso, caso você se pergunte por que isso não é um LOGON TRIGGER, há dois motivos: (1) o DAC ignora-os, por design e necessidade, e (2) as linhas/dados nesses DMVs não existiriam até que escapassem do gatilho de qualquer forma.

Para eventos no passado, e novamente se você tiver sorte, as pessoas que tentarem acessar o DAC do SSMS serão mordidas pela conexão em segundo plano que tenta se conectar novamente, pois essa tentativa falhada será gravada no log de erros e o O endereço IP é anexado ao final da mensagem (mas nenhuma outra informação é incluída). Isso não ajudará se alguém usar a área de trabalho remota para o servidor ou um aplicativo diferente do SSMS que não tente estabelecer conexões adicionais usando as mesmas ADMIN:credenciais, mas deve ser útil se usar o SSMS remotamente:

23/04/2018 08:11:18
Logon
desconhecido
Não foi possível conectar porque já existe o número máximo de '1' conexões de administrador dedicadas. Antes que uma nova conexão possa ser feita, a conexão de administrador dedicado existente deve ser encerrada, seja fazendo logoff ou finalizando o processo. [CLIENTE: 192.168.0.99]