как посмотреть с какого ip подключались по rdp

Просмотр и анализ логов RDP подключений в Windows

В этой статье мы рассмотрим, особенности аудита / анализа логов RDP подключений в Windows. Как правило, описанные методы могут пригодиться при расследовании различных инцидентов на терминальных / RDS серверах Windows, когда от системного администратора требуется предоставить информацию: какие пользователи входили на RDS сервер, когда авторизовался и завершил сеанс конкретный пользователь, откуда / с какого устройства (имя или IP адрес) подключался RDP-пользователь. Я думаю, эта информация будет полезна как для администраторов корпоративных RDS ферм, так и владельцам RDP серверов в интернете (Windows VPS как оказалось довольно популярны).

Как и другие события, логи RDP подключения в Windows хранятся в журналах событий. Откройте консоль журнала событий (Event Viewer). Есть несколько различных журналов, в которых можно найти информацию, касающуюся RDP подключения.

В журналах Windows содержится большое количество информации, но быстро найти нужное событие бывает довольно сложно. Когда пользователь удаленно подключается к RDS серверу или удаленному столу (RDP) в журналах Windows генерируется много событий. Мы рассмотрим журналы и события на основных этапах RDP подключения, которые могут быть интересны администратору:

В результате у вас получится список с историей всех сетевых RDP подключений к данному серверу. Как вы видите, в логах указывается имя пользователя, домен (используется NLA аутентификация, при отключенном NLA текст события выглядит иначе) и IP адрес компьютера, с которого осуществляется RDP подключение.

При этом имя пользователя содержится в описании события в поле Account Name, имя компьютера в Workstation Name, а имя пользователя в Source Network Address.

Вы можете получить список событий успешных авторизаций по RDP (событие 4624) с помощью такой команды PowerShell.

Событие с EventID – 21 (Remote Desktop Services: Shell start notification received) означает успешный запуск оболочки Explorer (появление окна рабочего стола в RDP сессии).

При этом в журнале Security нужно смотреть событие EventID 4634 (An account was logged off).

Событие Event 9009 (The Desktop Window Manager has exited with code ( ) в журнале System говорит о том, что пользователь инициировал завершение RDP сессии, и окно и графический shell пользователя был завершен.

Ниже представлен небольшой PowerShell, который выгружает из журналов терминального RDS сервера историю всех RDP подключений за текущий день. В полученной таблице указано время подключения, IP адрес клиента и имя RDP пользователя (при необходимости вы можете включить в отчет другие типы входов).

Иногда бывает удобно с логами в таблице Excel, в этом случае вы можете выгрузить любой журнал Windows в текстовый файл и импортировать в Excel. Экспорт журнала можно выполнить из консоли Event Viewer (конечно, при условии что логи не очищены) или через командную строку:

WEVTUtil query-events Security > c:\ps\security_log.txt

Список текущих RDP сессий на сервере можно вывести командой:

Команда возвращает как идентификатор сессии (ID), имя пользователя (USERNAME)и состояние (Active/Disconnect). Эту команду удобна использовать, когда нужно определить ID RDP сессии пользователя при теневом подключении.

Список запущенных процессов в конкретной RDP сессии (указывается ID сессии):

На RDP-клиенте логи не такие информационные, основное чем часто пользуются информация об истории RDP подключений в реестре.

Источник

Как посмотреть с какого ip подключались по rdp

Вопрос

Существует ли возможность узнать IP адрес подключившегося клиента RDP без копания в логах?

Ответы

Как у Вас настроен RDS?

The opinion expressed by me is not an official position of Microsoft

Все ответы

The opinion expressed by me is not an official position of Microsoft

The opinion expressed by me is not an official position of Microsoft

Запускайте RunAs Admin

AD поднять занимает один день, но на решение данной задачи это никак не влияет

The opinion expressed by me is not an official position of Microsoft

Как у Вас настроен RDS?

The opinion expressed by me is not an official position of Microsoft

На 2012r2 с установленной и настроенной ролью RDS отрабатывает на ура командлет приведенный выше. В модуле есть похожий командлет, возможно он вам покажет и без роли все текущие сеансы.

The opinion expressed by me is not an official position of Microsoft

Спасибо за помощь, хороший модуль, но мне надо просто знать IP у пользователя соедененного по RDP и мне казалось это проще простого. Буду скриптом брать из логов.

увы, имена пользователей не покажет. (

В TaskMeneger`e есть имя станции.

Для автоматизации это не подходит но видеть вы можете.

Вы не написали как у вас настроен RDS, и настроен ли вообще. Повторюсь AD к этой задаче большого отношения не имеет.

Подойдет Вам этот скрипт или нет можно проверить за 5 минут, если подойдет это вам упростит поиск необходимой информации (меньше времени будете тратить)

The opinion expressed by me is not an official position of Microsoft

В TaskMeneger`e есть имя станции.

Да, все что есть в диспетчере задач, по поводу подключений, можно посмотреть по команде, но жалко нет IP адреса там.

Незнаю как настроен у меня RDS, я просто развернул роль обыкновенных рабачих столов на сервере.

2 Про какую команду идет речь?

3 Если Вы развернули роль рабочих столов командлет должен работать. Скорее всего либо у Вас выключен UAC и Вы запускаете команду от обычного пользователя либо запускаете не используя RunAs admin, как пишите выше. Попробуйте запихнуть команду в планировщик настроить запуск с наивысшими правами (галка) от имени системы запуск вручную и выполнить

в самом задании написать следующее

The opinion expressed by me is not an official position of Microsoft

Wednesday, 31. May 2017 10:50:33
username
10.255.9.125

Там несколько команд для powershell есть и они много разного могут полезного, кроме вывести IP. Перепробывал все варианты которые там есть, но счастья так и не обрел. Команды такие:

RDS крайне не рекомендуется поднимать на КД о чем вы неминуемо узнаете если попробуете это сделать на ОС старше 2012р2 (на младших ОС все настраивалось но без бубна не работало, а на старших даже не настраивается без бубна)

Вы пробовали то что я писал выше про шедуллер и про альтернативные скрипты?

The opinion expressed by me is not an official position of Microsoft

Источник

Как посмотреть с какого ip подключались по rdp

Профиль | Отправить PM | Цитировать

У меня проблема. Дело в том, что есть подозрение, что кто-то знает пароль админа контроллера домена. Его замена не поможет, так как некоторым людям я все-равно должен буду сказать, а они могут либо сообщить налево, либо сами чудес натворить. Мне необходимо именно средство аудита, показывающее, с какого адреса заходил злоумышленник, чтобы провести потом с ним разъяснительную беседу. так работать больше не возможно. Каждый день что-то отваливается, и выглядит это со стороны так, как будто дело в моих кривых руках, что наводит некоторых на мысль, о неадекватности сис админа. Знаю, что некоторым это выгодно- поставить на мое место своего человека, и продолжать беспредел, который был до моего прихода в эту компанию.

Подскажите что-нибудь для решения этой проблемы.

» width=»100%» style=»BORDER-RIGHT: #719bd9 1px solid; BORDER-LEFT: #719bd9 1px solid; BORDER-BOTTOM: #719bd9 1px solid» cellpadding=»6″ cellspacing=»0″ border=»0″>

Сообщения: 4904
Благодарности: 496

——-
Если сообщение оказалось полезным, нажмите, пожалуйста, соответствующую кнопку.

» width=»100%» style=»BORDER-RIGHT: #719bd9 1px solid; BORDER-LEFT: #719bd9 1px solid; BORDER-BOTTOM: #719bd9 1px solid» cellpadding=»6″ cellspacing=»0″ border=»0″>

Сообщения: 1482
Благодарности: 117

——-
Сообщение помогло? В знак благодарности НАЖМИТЕ ПОЛЕЗНОЕ СООБЩЕНИЕ

Мы зрим не то, что есть вокруг,
А то, что можем видеть зримо.
А то, что зреть не достижимо
Нам не узреть во век веков.

Так НЕ ДЕЛАЕТСЯ! Если необходимо кому-то выполнять некоторые задачи, то это решается делегированием. Иначе хвостов всё равно не найдете.

Вы совершенно правы, я навожу порядок, но не все сразу, просто настраивать этот домен нет смысла- я все равно провожу миграцию в новый домен, о проблемах с которой пишу в другой теме. Собираюсь именно так и сделать, но когда я пришел сюда работать- то начинал с малого, и самого важного. У меня контроллер домена стоит собранный в корпусе Codegen за 25 баксов, на нем нету RAID, стояла бухгалтерия, причем не только 1С, но и ееще специфическая программа. известная только в наших краях, так же клиент-банк и Kerio Mail, а на вторичном контроллере домена лежит база данных компании, на которой работают несколько человек, и этот компьютер стоял не в серверной, а у пользователя, и она на нем работала, имея права админа контроллера домена, (и не только она одна, а еще человека четыре) и еще возмущалась, когда я пытался его забрать. При всем этом местный админ не считал нужным делать бэкап. Не сочтите это за флуд, просто попёрли из меня эмоции. При такой организации сети, если один сервер ляжет, то фирма парализована полностью на то время, когда я восстанавливаюсь из бэкапа.

Вот, проведу миграцию, и буду наводить порядки, и правильно права раздавать. Тогда я полезу на этот же форум, только в другие темы, и искать ответы уже на другие вопросы

Я бы посоветовал Вам поставить ISA там все можно настроить и логи пиет и можно поставить выполнение определнный программ например при запуске RDP у меня так стоит. При обращении к 3389 мне на почту падает поччта с отчетом что было попытка подключения с такого то ip

» width=»100%» style=»BORDER-RIGHT: #719bd9 1px solid; BORDER-LEFT: #719bd9 1px solid; BORDER-BOTTOM: #719bd9 1px solid» cellpadding=»6″ cellspacing=»0″ border=»0″>

Сообщения: 136
Благодарности: 5

» width=»100%» style=»BORDER-RIGHT: #719bd9 1px solid; BORDER-LEFT: #719bd9 1px solid; BORDER-BOTTOM: #719bd9 1px solid» cellpadding=»6″ cellspacing=»0″ border=»0″>

Сообщения: 136
Благодарности: 5

Источник

7 способов посмотреть, кто работает на сервере терминалов

С чего начинается администрирование пользователей на сервере терминалов?

Конечно с просмотра «Активных» или «Отключенных» сессий пользователей.

Без этой картины администрирование сервера терминалов невозможно.

Помимо статьи, записал также, и подробное видео, о том как администрировать пользователей на сервере терминалов (Новичкам смотреть обязательно!)

Конечно, данная тема также подымается и на курсе: Администратор 1С!

И так, конечно мы должны во всех подробностях видеть, что у нас происходит на сервере терминалов!

Какие процессы запущены от имени тех или иных пользователей (в т.ч. процессы 1С) их идентификаторы, id сессий пользователей, это и многое другое помогает администратору всегда быть в курсе того что происходит на сервере и соответственно всем этим управлять, и вовремя реагировать на различные ситуации.

На разных версиях Windows server администраторы по-разному решают этот вопрос.

Но все администраторы хотят одного:

1. Чтоб быстро посмотреть всех пользователей кто работает на сервере.

2. Чтоб это было как можно информативней.

Поэтому поводу решил собрать все лучшие, простые и быстрые способы которые (на мое мнение) стоит использовать.

Уверен, что многим начинающим администраторам эти способы помогут в администрировании сервера терминалов.

И так способ первый и самый простой (На Windows server 2012 R2)

1. Диспетчер задач.

«Диспетчер задач» – вкладка «Пользователи» – позволяет нам видеть пользователей, которые работают на этом сервере.

Но по умолчанию стандартный «Диспетчер задач» – вкладка «Пользователи» нам не покажет, что пользователь работает на сервере удаленно, используя RDP, хорошо, что это можно легко исправить.

Правый клик мышкой на панели «Пользователь» и в появившимся контекстном меню

ставим птичку напротив «Сеанс» а также стоит поставить и напротив «Имя клиента».

Так мы будем знать, что этот пользователь работает у нас на сервере через RDP.

Минусы данного способа здесь очевидны, чтоб смотреть пользователей мы должны находится на сервере терминалов, где собственно и запускаем «Диспетчер задач», нет возможности сделать какую-то выборку, фильтр и т.д.

2. quser

Следующий метод это использование команды quser в CMD или PowerShell.

Quser – это аналог QUERY USER (Такое сокращение позволяет выполнять команду быстрее)

Здесь все просто запускаем CMD или PowerShell и пишем команду quser

Так мы увидим всех пользователей, что работают на этом сервере.

Метод очень простой быстрый и достаточно информативный.

Если мы хотим посмотреть только какого-то конкретного пользователя, тогда можно написать например так:

Term01 – это логин пользователя.

Большинство системных администраторов отдают предпочтение именно этому способу.

И не только потому, что быстро, просто и т.д., но и потому что можно смотреть удаленно всех пользователей, сидя за своим ПК, где не будь в локальной сети.

И для этого достаточно ввести команду с параметром SERVER

Вместо IP можно указать (хост) имя сервера терминалов.

Формат командной строки:

QUSER [; пользователь ; | ; имя сеанса ; | ; ID сеанса ;] [/SERVER:; сервер ;]

Если Вы хотите больше узнать о технической стороне 1С, тогда регистрируйтесь на первый бесплатный модуль курса: Администратор 1С

Источник

Как посмотреть с какого ip подключались по rdp

скрипт, наглядно выводящий форматированные время, IP-адреса и имена хостов, с которых неудачно пытались подключиться к Windows 2003 RDP-серверу согласно виндовому журналу событий. Для отслеживания таких попыток, необходимо включить аудит отказов во входе в систему для локальной политики аудита в параметрах безопасности (делается через оснастку secpol.msc, например). Скрипт будет полезен для открытых кишками наружу серверов терминалов.

В скрипте сразу предусмотрена возможность не выводить определенные адреса/имена хостов, или целые «диапазоны» (сравниваются строки а не маски).

результатом выполнения такого скрипта из командной строки «cscript rdp.vbs > rdp.txt», будет файл, примерно такого содержания:

подчеркну, что скрипт необходимо сохранять в кодировке ISO 8859-2, или же скачать готовый файл выше.

кстати, хорошей идеей было бы прикручивание утилиты Whois от Марка Руссиновича, которая отображала бы данные по IP адресу в той же строке. Велкам в комментарии 🙂

UPD 05.12.12. Прикрутил получение имени хоста по IP если оно доступно, а также возможность исключить из вывода определенные имена хостов. Текст скрипта а также файл обновлены.

UPD 13.09.13. Добавил в запрос выборку в определенном интервале дат. В примере выбираются события за последние 120 дней. Оптимизировал процесс получения имени хоста — если оно уже было получено для IP-адреса то повторно запрашиваться не будет, а будет взято из соответствия. Также предусмотрел ситуацию, когда в поле IP события может попасть вовсе не IP-адрес. Также, из-за отбора в диапазоне дат данные в результат выводятся в возрастающем порядке, т.е. последние события будут в конце файла, что не очень удобно. Добавил комментарии в код.

32 комментария на “отслеживание попыток доступа по rdp”

пожалуйста! рад, что скрипт пригодился

спасибо полезная штука, а каким скриптом можно получить лог подключений к серверу по rdp — т.е. под какой учеткой, с какого айпи зашли на сервак и когда…

для того, чтобы получить лог подключений необходимо включить аудит успехов во время входа в систему (с помощью того же secpol.msc) и поменять в скрипте пару строчек. А именно изменить код события с 529 на 682 и тип события с 5 (отказ) на 4 (успех). Также у нас поменяется структура самого сообщения, вместо 15ти строк будет выведено 7. Также поменяется и порядок следования IP-адреса и имени пользователя. Вот, накидал работающий вариант:

Идея супер. Реализация красива. Но…
Данный скрипт не работает на Server 2008
Меняю код события на четырезначный. Валится ошибка про индекс массива.

да, уже слышал о том, что на 2008 сервере не работает. Если дойдут руки — унифицирую

Привет! Спасибо, скриптик очень выручает. Огорчает две вещи:
— не получается перенаправить вывод в файл (либо стартую из проводника — тогда открывается окно командного процессора, записи пролетают и окно закрывается; либо из батника — тогда на каждую строку вылазит модальное окно и опять-таки, эхо в файл не перенаправляется).
— нет возможности задать диапазон дат, скрипт раз за разом шерстит весь журнал, сколько бы тот не весил.
Можно ли реализовать параметры Имя_файла, Нач_дата, Кон_дата?

С выводом разобрался — стартовать не «start Success.vbs >result.txt», а «cscript Success.vbs >result.txt». А даты не запилите?

Вы как раз вовремя. Я сам задался вопросом про даты, т.к. скрипт начинает работать все дольше и дольше. Обновил текст скрипта, приложенный файл и текст статьи.

Источник

• ← что запрещается делать работнику при сильных морозах во избежание обморожения сдо
• что делают со шлаком после плавки →