| 通道 | Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational |
|---|---|
| 事件 | 1149 认证记录（含来源 IP、用户名） |
| 补充 | Security 4624 LogonType=10 |
| 命令 | Get-WinEvent 或 wevtutil qe |
查询 RDP 连接记录
查询 RDP 连接记录
Get-WinEvent -LogName 'Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational' -MaxEvents 200 -ErrorAction SilentlyContinue | Where-Object { $_.Id -eq 1149 } | Select-Object -First 20 TimeCreated, Message | Format-List
wevtutil qe Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational /c:20 /rd:true /f:text通道未启用时查询为空；先确认日志存在，否则退回 4624 Type 10 的统计。