Histórico de login dos Serviços de Área de Trabalho Remota

Question

É possível gerar um relatório de logons de usuários anteriores para um servidor dos Serviços de Área de Trabalho Remota do Windows Server 2008?

Os logs do Visualizador de Eventos mais próximos que eu posso encontrar estão em Registros de Aplicativos e Serviços - > Microsoft - > Windows - > TerminalServices-RemoteConnectionManager Esses logs são bons, mas você não pode exibir a conta de usuário para cada evento de login (ID do Evento 1149).

Alguma idéia por aí?

    

Answer 1

Você pode usar um script para coletar essas informações. Não é tão ideal / simples, mas fará o trabalho. Aqui está um script Powershell que deve funcionar no Windows 7 / Server 2008r2 ou superior (este código pode ser mais limpo em versões mais recentes do Powershell, mas mantive-o como está para compatibilidade com versões anteriores):

$LogName = 'Microsoft-Windows-TerminalServices-LocalSessionManager/Operational'
$Results = @()
$Events = Get-WinEvent -LogName $LogName
foreach ($Event in $Events) {
    $EventXml = [xml]$Event.ToXML()

    $ResultHash = @{
        Time        = $Event.TimeCreated.ToString()
        'Event ID'  = $Event.Id
        'Desc'      = ($Event.Message -split "'n")[0]
        Username    = $EventXml.Event.UserData.EventXML.User
        'Source IP' = $EventXml.Event.UserData.EventXML.Address
        'Details'   = $Event.Message
    }

    $Results += (New-Object PSObject -Property $ResultHash)
}

$Results | Export-Csv 'Remote Desktop Users.csv'

    

Answer 2

Primeiro, se você não registrou no momento (ou o log foi sobrescrito), você está sem sorte.

Em segundo lugar, você deseja procurar no log de eventos de segurança e procurar as identificações de evento 528 e 540. O tipo de logon 10 indica um logon interativo remoto (RDP).

    

Answer 3

Com base no link

Get-Eventlog -LogName Security | where {$_.EventId -eq "4624"} | select-object @{Name="User"
;Expression={$_.ReplacementStrings[5]}} | sort-object User -unique

Você pode pegar outras informações de ReplacementStrings. Você também pode especificar um computador remoto no comando Get-Eventlog.