Einige Benutzer haben sich über RDP bei einem Server angemeldet.
Ich möchte die Aktivität überwachen , kenne mich aber mit Windows Server nicht so gut aus.
Ich hoffe, es gibt Protokolle, die ich einsehen kann.
Irgendwelche Ideen? :)
windows
security
logging
windows-server-2008
remote-desktop
RadiantHex
quelle
quelle
Hier ist eine Lösung in PowerShell:
Informationen zu den zugehörigen EventIds, nach denen wir filtern, finden Sie hier:
Für RDP-Verbindungen interessieren Sie sich speziell für LogType 10. RemoteInteractive; hier habe ich nicht gefiltert, falls die anderen Arten von Nutzen sind; Es ist jedoch trivial, bei Bedarf einen weiteren Filter hinzuzufügen.
Sie müssen auch sicherstellen, dass diese Protokolle erstellt werden. das zu tun:
Start
Control Panel
Administrative Tools
Local Security Policy
Security Settings
>Advanced Audit Policy Configuration
>System Audit Policies - Local Group Policy Object
>Logon/Logoff
Audit Logon
zuSuccess
quelle
Abgesehen vom Durchsuchen der Ereignisprotokolle, Suchen nach Anmeldetyp 10 (Remotedesktop) im Sicherheitsprotokoll oder Anzeigen der Ereignisprotokolle des TerminalServices-Kanals müssen Sie Software von Drittanbietern verwenden.
Zusätzlich zu der oben erwähnten TSL habe ich noch eine andere mit Erfolg verwendet: Remote Desktop Reporter
http://www.rdpsoft.com/products
Wenn Sie sich an Dritte wenden, stellen Sie sicher, dass Sie mehrere Anbieter bewerten und Preisangebote von jedem Anbieter erhalten ... es gibt eine enorme Preisdifferenz - einige Anbieterpreise pro benanntem Benutzer, einige pro gleichzeitigem Benutzer und einige einfach nach Server. Stellen Sie außerdem sicher, dass die Lösung über eine eigene Datenbank oder eine Lite-Version von SQL verfügt.
quelle
Sie können jedes Benutzerkonto in AD so einrichten, dass die Remotesteuerung die Sitzung eines Benutzers anzeigt oder mit ihr interagiert, indem Sie im Task-Manager auf die Registerkarte Benutzer klicken, mit der rechten Maustaste klicken und "Remotesteuerung" auswählen. Sie können dann ihre Sitzung anzeigen.
quelle
Ich habe die meisten kostenlosen / erschwinglichen Antworten auf dieser Seite durchgesehen und auch an anderer Stelle gesucht (tagelang, einschließlich des Lesens der von Andy Bichler erwähnten Ereignisprotokolle).
http://www.tweaking.com/content/page/remote_desktop_ip_monitor_blocker.html
Ich habe es nicht ausgiebig getestet, aber es heruntergeladen und gescannt (die portable Version) und obwohl die Benutzeroberfläche ein bisschen hässlich ist, funktioniert es auf einem 2012 R2-Server bisher ohne Probleme. Es ist "hands on", aber auch ein Kinderspiel und schlägt das Entschlüsseln der Ereignisprotokolle.
Es gibt auch ts_block, mit dem Sie IPs automatisch blockieren können, die das RDP Ihres Servers brutal erzwingen (was vermutlich einige RDP-Versuche protokollieren würde):
https://github.com/EvanAnderson/ts_block
Wie Sie in diesem Link sehen können, ist der Autor ein Serverfehlerbenutzer. Ich habe es nicht getestet, da es im Grunde genommen ein vbscript ist, das ich vor der Verwendung sezieren müsste. Aber es scheint vielversprechend.
Das Problem mit den von Andy oben erwähnten Ereignisprotokollen ist, dass sie nicht sehr klar oder beschreibend sind, wer was tut ... zumindest in böswilliger Hinsicht. Sie können IP-Adressen finden, aber dann ist es schwer zu sagen, ob sie mit allen fehlgeschlagenen Anmeldeversuchen zusammenhängen. Daher scheint ein anderes Tool als die inhärenten Protokolle fast obligatorisch zu sein, wenn Ihr Server mit dem Internet verbunden ist und Sie Bedenken hinsichtlich der Sicherheit haben.
quelle
im Eventlog -
Anwendungs - und Dienstprotokolle \ Microsoft \ Windows \ remote desktop services-rdpcorets
es gibt alle versuche, eine verbindung zu rdp und der ip-adresse herzustellen
quelle
Als ich vor ein paar Jahren als Administrator gearbeitet habe, hatte ich Probleme wie Sie. Ich wollte alle überwachen, die über das RDP eine Verbindung herstellen, und genau, wann und ob sie aktiv oder inaktiv sind.
Ich habe nur wenige Produkte evaluiert, bin jedoch zu dem Schluss gekommen, dass keines für mich gut genug ist, sodass ich mein eigenes Produkt erstellt habe (das Problem bestand darin, dass jeder eine Art Agent oder Service zum Erfassen der Daten hatte und die von mir erstellte Lösung die Verwendung der TS-API für Remotezugriffe ist Remote-Server und extrahieren Sie die Daten ohne Agent). Das Produkt heißt jetzt syskit (oder TSL wie Jim erwähnt) und wird auf der ganzen Welt verwendet: D
Sie können Benutzeraktivitäten überprüfen hier
quelle