質問: rdpアクティビティログはありますか? -windows server 2008 r2 数人のユーザーがrdpを介してサーバーにログインしています。アクティビティを監視したいですが、windows serverの使い方がよくわかりません。参考にできるログが何かあるといいのですが。何か案は? :)
回答: powershellでのソリューションは次のとおりです。get-eventlog -logname security | ?{(4624,4778) -contains $_.eventid} | %{ (new-object -type psobject -property @{ timegenerated = $_.timegenerated clientip = $_.message -replace '(?smi).*source network address:\s+([^\s]+)\s+.*','$1' username = $_.message -replace '(?smi).*account name:\s+([^\s]+)\s+.*','$1' userdomain = $_.message -replace '(?smi).*account domain:\s+([^\s]+)\s+.*','$1' logontype = $_.message -replace '(?smi).*logon type:\s+([^\s]+)\s+.*','$1' }) } | sort timegenerated -descending | select timegenerated, clientip ` , @{n='username';e={'{0}\{1}' -f $_.userdomain,$_.username}} ` , @{n='logtype';e={ switch ($_.logontype) { 2 {'interactive (logon at keyboard and screen of system)'} 3 {'network (i.e. connection to shared folder)'} 4 {'batch (i.e. scheduled task)'} 5 {'service (i.e. service start)'} 7 {'unlock (i.e. post screensaver)'} 8 {'networkcleartext (i.e. iis)'} 9 {'newcredentials (i.e. local impersonation process under existing connection)'} 10 {'remoteinteractive (i.e. rdp)'} 11 {'cachedinteractive (i.e. interactive, but without network connection to validate against ad)'} default {"logtype not recognised: $($_.logontype)"} } }} フィルタリングしている関連するeventidに関する情報は、次の場所にあります。 ログオン成功: https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventid=4624 再接続されたセッション: https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventid=4778 rdp接続の場合、logtype 10に特に関心があります。 remoteinteractive;ここでは、他のタイプが使用されている場合に備えて、フィルタリングしていません。ただし、必要に応じて別のフィルターを追加するのは簡単です。これらのログが作成されていることを確認する必要もあります。それを行うには: startをクリックします 選択する control panel 選択する administrative tools 開いた local security policy ナビゲートsecurity settings> advanced audit policy configuration> system audit policies - local group policy object> logon/logoff 修正audit logonからsuccess