Você pode verificar se o logon do RDP foi bem-sucedido consultando o log de segurança do sistema de destino. Os eventos de logon são ID 4624, os logons do RDP são do tipo 10. Outros tipos de logon link
$user2find = "santaClaus"
$target = "server1234"
Get-winevent -comp $target -FilterHashtable @{Logname='security'; ID=4624; starttime=(get-date).addMinutes(-5)} | where {$_.properties[8].value -eq 10 -and $_.properties[5].value -eq $user2find}