PowerShell의 솔루션은 다음과 같습니다.

Get-EventLog -LogName Security | ?{(4624,4778) -contains $_.EventID} | %{
    (new-object -Type PSObject -Property @{
        TimeGenerated = $_.TimeGenerated
        ClientIP = $_.Message -replace '(?smi).*Source Network Address:\s+([^\s]+)\s+.*','$1'
        UserName = $_.Message -replace '(?smi).*Account Name:\s+([^\s]+)\s+.*','$1'
        UserDomain = $_.Message -replace '(?smi).*Account Domain:\s+([^\s]+)\s+.*','$1'
        LogonType = $_.Message -replace '(?smi).*Logon Type:\s+([^\s]+)\s+.*','$1'
    })
} | sort TimeGenerated -Descending | Select TimeGenerated, ClientIP `
, @{N='Username';E={'{0}\{1}' -f $_.UserDomain,$_.UserName}} `
, @{N='LogType';E={
    switch ($_.LogonType) {
        2   {'Interactive (logon at keyboard and screen of system)'}
        3   {'Network (i.e. connection to shared folder)'}
        4   {'Batch (i.e. scheduled task)'}
        5   {'Service (i.e. service start)'}
        7   {'Unlock (i.e. post screensaver)'}
        8   {'NetworkCleartext (i.e. IIS)'}
        9   {'NewCredentials (i.e. local impersonation process under existing connection)'}
        10  {'RemoteInteractive (i.e. RDP)'}
        11  {'CachedInteractive (i.e. interactive, but without network connection to validate against AD)'}
        default {"LogType Not Recognised: $($_.LogonType)"}
    }
}}

필터링중인 관련 EventId에 대한 정보는 다음에서 찾을 수 있습니다.

• 성공적인 로그온 : https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventID=4624
• 다시 연결된 세션 : https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventID=4778

RDP 연결의 경우 LogType 10에 특히 관심이 있습니다. RemoteInteractive; 다른 유형이 사용되는 경우 필터링하지 않았습니다. 그러나 필요한 경우 다른 필터를 추가하는 것은 쉽지 않습니다.

또한 이러한 로그가 작성되었는지 확인해야합니다. 하기 위해서:

• 딸깍 하는 소리 Start
• 고르다 Control Panel
• 고르다 Administrative Tools
• 열다 Local Security Policy
• 이동 Security Settings> Advanced Audit Policy Configuration> System Audit Policies - Local Group Policy Object>Logon/Logoff
• 수정 Audit Logon하다Success

답변