RDP 连接记录是什么
Windows 远程桌面会沿着 TerminalServices 通道留下 1149 事件，逐条记录认证尝试的账号与来源 IP；再配合 Security 日志的 4624（LogonType=10），就能还原一次完整的远程会话。排查来源不明的远程登录、口令爆破与横向移动时，这两处记录必须一起看，只查一处很容易漏掉关键环。
基本信息
| 主要通道 | Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational |
|---|---|
| 关键事件 | 1149 认证记录（含来源 IP 与用户名） |
| 补充通道 | Security 4624 LogonType=10（远程交互式登录成功） |
| 查询方式 | Get-WinEvent 或 wevtutil qe |
| 前提条件 | 通道需处于启用状态且有保留记录 |
| 日志限制 | 通道默认大小有限，滚动覆盖旧记录 |
典型使用场景
- 排查远程桌面来源：谁在什么时间从哪里登录过本机
- 追踪口令爆破，统计大量 1149 对应的账号与来源
- 还原横向移动路径，确认攻击者从哪台主机跳到本机
- 处置后验证隔离效果，确认异常来源不再出现
- 与本地登录记录对照，区分远程会话与本地会话
- 取证留存：导出事件清单并入统一时间线
查询 RDP 连接记录
查询 RDP 连接记录
Get-WinEvent -ListLog *TerminalServices* | Select-Object LogName, RecordCount, IsEnabled # 先确认通道存在
Get-WinEvent -LogName 'Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational' -MaxEvents 200 -ErrorAction SilentlyContinue | Where-Object { $_.Id -eq 1149 } | Select-Object -First 20 TimeCreated, Message | Format-List
wevtutil qe Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational /c:20 /rd:true /f:text
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 200 -ErrorAction SilentlyContinue | Where-Object { $_.Message -match 'Logon Type:\s+10' } | Select-Object -First 20 TimeCreated, Message事件与字段读法
| 事件/字段 | 含义 | 判读要点 |
|---|---|---|
| 1149 | 会话认证尝试记录 | 含来源 IP 与用户名，是 RDP 来源的直读证据 |
| 4624 类型 10 | 远程交互式登录成功 | 与 1149 时序对照可确认是否真的进了系统 |
| 4625 | 登录失败 | 与 1149 交叉看尝试频率与账号分布 |
| Account Name | 登录账号 | 本地管理员以外的账号需核实用途 |
| Source Network Address | 来源 IP | 出现异常网段或外网地址需重点追查 |
通道未启用或记录为空时查询不会有结果：先用 Get-WinEvent -ListLog *TerminalServices* 确认通道状态与保留记录数，再决定是退回 4624 统计还是先开启审计。
域环境下同一账号可能从多台主机发起会话：把来源 IP 与主机名、登录账号三者组合起来看，才能区分正常运维与横向移动。
通道默认大小有限且滚动覆盖：一旦发现可疑活动就尽快导出，别指望过几天还能查得到原始记录。