查看 Windows 远程桌面连接历史，7 步构建安全审计时间线

只要通过 RDP 远程桌面协议连接 Windows 设备，就会在系统「事件日志」中留下诸多操作痕迹。安全审计真正的难点在于：如何把远程交互会话从本地控制台登录中剥离出来，再将散落在各处的「事件」串连成一条完整的时间线。

本文梳理了 RDP 连接的关键事件 ID、筛选规则和一整套简单好用的事件关联逻辑，并补充了客户端侧的痕迹排查技巧。整个流程共分为 7 步：定位事件源 → 拉取历史日志 → 关联会话 → 捕获失败与异常事件 → 补齐客户端痕迹 → 日志集中留存 → 输出审计结论。

查看 Windows 远程桌面连接历史

第 1 步：定位事件源

1按Windows + R打开「运行」对话框，输入eventvwr.msc并回车，打开「事件查看器」。

2分别展开下列路径：

• 「Windows 日志」>「安全」
• 「应用程序和服务日志」>「Microsoft」>「Windows」>「TerminalServices-LocalSessionManager」>「Operational」
• 「应用程序和服务日志」>「Microsoft」>「Windows」>「TerminalServices-RemoteConnectionManager」>「Operational」

3按场景筛选并记录以下核心事件 ID：

第 2 步：使用 PowerShell 批量拉取日志

1右键点击「开始」菜单，选择「终端管理员」，以管理员权限打开 Windows 终端。

2按Ctrl + Shift + 1快捷键，切换到 PowerShell 窗口。

3粘贴下列脚本并回车：

• 把最近 7 天的登录成功/失败事件带上LogonType和源 IP 一并导出：

# 导出最近 7 天的安全日志（4624 成功、4625 失败），提取登录类型、用户名、来源 IP
Get-WinEvent -FilterHashtable @{
    LogName   = 'Security'
    Id        = 4624,4625
    StartTime = (Get-Date).AddDays(-7)
} | ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        EventID     = $_.Id
        LogonType   = ($xml.Event.EventData.Data | Where-Object { $_.Name -eq 'LogonType' }).'#text'
        User        = ($xml.Event.EventData.Data | Where-Object { $_.Name -eq 'TargetUserName' }).'#text'
        IpAddress   = ($xml.Event.EventData.Data | Where-Object { $_.Name -eq 'IpAddress' }).'#text'
    }
} | Export-Csv C:\Logs\SecurityEvents.csv -NoTypeInformation -Encoding UTF8

• 导出本地会话管理器（Local Session Manager, LSM）的完整操作日志：

# 导出 LSM 操作日志，包含会话启动、断开、注销等事件
Get-WinEvent -LogName "Microsoft-Windows-TerminalServices-LocalSessionManager/Operational" |
    Export-Csv C:\Logs\LSM_Events.csv -NoTypeInformation -Encoding UTF8

第 3 步：关联事件，还原会话时间线

3.1 方法论

• 匹配1149事件（RCM 预认证）与4624事件（LogonType = ID，即远程交互式登录）。关联字段为：用户名 + 时间戳（误差 ± 1 分钟）。

• 补充 LSM 的22事件，确认桌面 Shell 已启动、远程桌面会话真正进入可用状态。
• 以 LSM 的23事件（注销）或24事件（断开连接但未注销）标定会话结束时间。
• 会话时长 = 结束时间 – 1149事件的时间戳，就能得到完整的会话时长。

之所以这么拼接操作是因为：

• 安全日志中的4624事件包含了用户名和来源 IP，但无法区分登录渠道；
• 1149事件明确标识了 RDP 连接请求，但却发生在认证流程完成前。

两者交叉验证，才能准确定位 RDP 会话并获取完整的来源信息，具体如何组合，需要你自由发挥，可以将 CSV 导入到 Excel 进行综合分析。

3.2 具体示例

例如，只需要简单识别出哪个用户、在哪个时间、从哪个 IP，远程登录了这台机器，会话时长是多少，就可以组合出以下 PowerShell 脚本：

#Requires -RunAsAdministrator
# RDP Login Audit | 需管理员权限运行
# 用法：.\RDP_Simple.ps1 [-DaysBack 30] [-OutputPath "D:\Audit\rdp.csv"]

param(
    [int]    $DaysBack   = 7,
    [string] $OutputPath = "C:\Logs\RDP_Simple.csv"
)

$OutputDir = Split-Path $OutputPath
if (-not (Test-Path $OutputDir)) { New-Item -ItemType Directory -Path $OutputDir | Out-Null }

# 1. 登录事件：LogonType 3（NLA 模式）和 10（标准 RDP），排除本机 IP
$logins = Get-WinEvent -FilterHashtable @{
    LogName   = 'Security'
    Id        = 4624
    StartTime = (Get-Date).AddDays(-$DaysBack)
} -ErrorAction SilentlyContinue | ForEach-Object {
    $xml = [xml]$_.ToXml()
    $ns  = $xml.Event.EventData.Data
    $lt  = ($ns | Where-Object Name -eq 'LogonType').'#text'
    $ip  = ($ns | Where-Object Name -eq 'IpAddress').'#text'
    if ($lt -in @('3', '10') -and $ip -and $ip -notmatch '^(::1|127\.|-)') {
        [PSCustomObject]@{
            LoginTime = $_.TimeCreated
            UserName  = ($ns | Where-Object Name -eq 'TargetUserName').'#text'
            SourceIP  = $ip
            LogonType = $lt
            LogonID   = ($ns | Where-Object Name -eq 'TargetLogonId').'#text'
        }
    }
} | Where-Object { $_.UserName -and $_.UserName -ne '-' }

# 2. 去重：同用户同 IP 5 秒内只保留第一条（每次连接会触发多条重复事件）
$script:lastEvent = $null
$deduped = $logins | Sort-Object LoginTime | ForEach-Object {
    $cur = $_
    if (-not $script:lastEvent -or
        $cur.UserName -ne $script:lastEvent.UserName -or
        $cur.SourceIP -ne $script:lastEvent.SourceIP -or
        ($cur.LoginTime - $script:lastEvent.LoginTime).TotalSeconds -gt 5) {
        $script:lastEvent = $cur
        $cur
    }
}

# 3. 登出事件：4634 系统注销/4647 用户主动注销
$logoffs = Get-WinEvent -FilterHashtable @{
    LogName   = 'Security'
    Id        = 4634, 4647
    StartTime = (Get-Date).AddDays(-$DaysBack)
} -ErrorAction SilentlyContinue | ForEach-Object {
    $xml = [xml]$_.ToXml()
    $ns  = $xml.Event.EventData.Data
    [PSCustomObject]@{
        LogoffTime = $_.TimeCreated
        LogonID    = ($ns | Where-Object Name -eq 'TargetLogonId').'#text'
    }
} | Where-Object { $_.LogonID }

# 4. 用 LogonID 关联登出，计算时长
$result = foreach ($login in $deduped) {
    $logoff = $logoffs |
        Where-Object {
            $_.LogonID    -eq $login.LogonID -and
            $_.LogoffTime -gt $login.LoginTime
        } |
        Sort-Object LogoffTime |
        Select-Object -First 1

    $duration = if ($logoff) {
        $span = $logoff.LogoffTime - $login.LoginTime
        '{0:D2}:{1:D2}:{2:D2}' -f [int]$span.TotalHours, $span.Minutes, $span.Seconds
    } else { '进行中' }

    [PSCustomObject]@{
        登录时间 = $login.LoginTime
        用户名   = $login.UserName
        来源IP   = $login.SourceIP
        登录类型 = if ($login.LogonType -eq '10') { 'RDP 直连' } else { 'RDP (NLA)' }
        会话时长 = $duration
    }
}

# 5. 导出并预览最近 10 条
$result | Sort-Object 登录时间 |
    Export-Csv -Path $OutputPath -NoTypeInformation -Encoding UTF8

Write-Host "✅ 完成，共 $($result.Count) 条记录 → $OutputPath" -ForegroundColor Green
$result | Sort-Object 登录时间 -Descending | Select-Object -First 10 | Format-Table -AutoSize

第 4 步：捕获失败事件与异常行为

1按Windows + R打开「运行」对话框，输入eventvwr.msc并回车，打开「事件查看器」。

2展开「Windows 日志」>「安全」。

3在右侧「操作」面板中点击「筛选当前日志…」。

4在「事件 ID」中填入4625，点击「确定」。

5在筛选结果的「常规」或「详细信息」选项卡中，重点关注以下字段：

第 5 步：补齐客户端侧痕迹

5.1 查找注册表 MRU 记录

1按Windows + R快捷键打开「运行」对话框，执行regedit打开注册表编辑器。

2导航到以下路径：

HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default

3右侧会以MRU0、MRU1、MRU2等条目，列出最近连接过的 RDP 服务器名或 IP 地址。

5.2 查找跳转列表文件

「跳转列表」（Jump List）缓存文件本质上是：某个程序最近打开过的文件、目标、连接记录：

1按 Windows + E 快捷键打开「文件资源管理器」，在地址栏访问：

%AppData%\Microsoft\Windows\Recent\AutomaticDestinations\

2按「修改日期」排序，重点关注体积较大或近期改动过的文件。

5.3 查找保存的 .rdp 连接文件

1在「文件资源管理器」中进入以下路径：

C:\Users\<username>\Documents\

2搜索扩展名为.rdp的文件，并记录文件名与修改日期。

优化运维与安全审计

第 6 步：日志大小与长期保存

6.1 调大日志存储上限

1打开「事件查看器」，进入「Windows 日志」。

2右键点击「安全」，选择「属性」。

3把「最大日志大小」调整为更大的值。

4选择「按需要覆盖事件」或「日志满时将其存档，不覆盖事件」，确认并保存。

6.2 手动导出日志备份

在「事件查看器」中依次对以下 3 项日志执行「右键」>「将所有事件另存为」操作，保存到可靠位置，并在文件名中添加导出日期：

• 「Windows 日志」>「安全」
• 「应用程序和服务日志」>「Microsoft」>「Windows」>「TerminalServices-LocalSessionManager」>「Operational」
• 「应用程序和服务日志」>「Microsoft」>「Windows」>「TerminalServices-RemoteConnectionManager」>「Operational」

第 7 步：输出结论，把数据变成运维动作

1. 针对重复性失败登录、未知来源 IP 访问、日志覆盖断档等问题，建立运维工单跟进。
2. 将完整的会话时间线附入事件复盘报告和服务评审材料。
3. 定期复核会话记录覆盖范围与访问例外清单。

RDP 连接历史审计最佳实践

下表汇总了日常审计中可以落地的经验：

常见问题解答