Как посмотреть кто подключался по RDP Windows 10

Как посмотреть кто подключался по RDP Windows 10 — вопрос, который возникает у администраторов и обычных пользователей, когда нужно отследить несанкционированный доступ или просто проконтролировать активность на компьютере. В Windows 10 есть несколько встроенных инструментов, которые позволяют получить эту информацию: от простого просмотра журнала событий до использования командной строки и PowerShell.

В большинстве случаев данные о подключениях по RDP (Remote Desktop Protocol) хранятся в системных логах. Но не все знают, где именно их искать. В этой статье разберём 5 проверенных способов — от самого простого до продвинутого, с примерами команд и скриншетов (описаниями интерфейса).

Почему важно отслеживать RDP-подключения

Подключения по RDP — это удобный способ удалённого управления компьютером, но они же становятся уязвимостью, если их не контролировать. Злоумышленники часто используют уязвимости в RDP, чтобы получить доступ к системе, а недобросовестные сотрудники могут подключаться к корпоративным ПК без разрешения.

Вот основные причины, по которым нужно знать, кто и когда подключался по RDP:

• Обнаружение несанкционированного доступа;
• Контроль активности пользователей на рабочих станциях;
• Аудит безопасности (особенно актуально для корпоративных сетей);
• Поиск причин сбоев или подозрительной активности.

Без отслеживания RDP-подключений вы рискуете упустить важные сигналы о возможных угрозах.

Способ 1: Просмотр журнала событий Windows

Самый надёжный способ — использовать Журнал событий Windows (Event Viewer). В нём фиксируются все подключения по RDP, включая успешные и неудачные попытки.

Чтобы открыть журнал:

1. Нажмите Win + R, введите eventvwr.msc и нажмите Enter;
2. Перейдите в раздел Журналы Windows → Безопасность;
3. В правой части окна выберите Фильтр текущего журнала;
4. В поле Идентификаторы событий введите 4624, 4625, 4648, 4776, 4778, 4779 (это событий для входа в систему, включая RDP).

Теперь вы увидите все события, связанные с подключениями. Обратите внимание на:

• ID 4624 — успешный вход в систему;
• ID 4625 — неудачная попытка входа;
• ID 4776 — подключение по RDP (указывает IP-адрес клиента);
• ID 4778 — отключение сеанса RDP;
• ID 4779 — переподключение к сеансу.

В столбце Подробности можно увидеть имя пользователя, IP-адрес и время подключения.

Способ 2: Использование командной строки

Если вам удобнее работать с командной строкой, можно использовать утилиту wevtutil или query для фильтрации событий.

Пример 1. Просмотр всех успешных входов по RDP:

Откройте Командную строку от имени администратора и выполните:

wevtutil qe Security /q:"*[System[(EventID=4624) and (LogonType=10)]]" /f:text

Здесь:

• Security — журнал безопасности;
• EventID=4624 — успешный вход;
• LogonType=10 — тип входа, соответствующий RDP (3 — сетевой вход, 10 — удалённый через RDP).

Пример 2. Просмотр подключений по за последние 7 дней:

wevtutil qe Security /q:"*[System[(EventID=4776) and (TimeCreated[timediff(@SystemTime) <= 7776000000]]]]" /f:text

В этом запросе:

• EventID=4776 — подключение по RDP;
• TimeCreated[timediff(@SystemTime) <= 7776000000] — фильтр по времени (7776000000 мс = 7 дней).

Результаты будут выведены в текстовом формате. Для удобства можно перенаправить их в файл:

wevtutil qe Security /q:"*[System[EventID=4776]]" /f:text > rdp_logs.txt

Способ 3: PowerShell для продвинутых

PowerShell позволяет гибко фильтровать и анализировать логи. Это удобно, если нужно получить данные в структурированном виде или автоматизировать проверку.

Пример 1. Получение всех подключений по RDP:

Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4776} | Select-Object TimeCreated, @{Name='User'; Expression={$_.Properties[0].Value}}, @{Name='IP'; Expression={$_.Properties[1].Value}} | Format-Table -AutoSize

Эта команда:

• Ищет события с ID=4776 (подключения по RDP);
• Выбирает время события, имя пользователя и IP-адрес;
• Выводит результат в виде таблицы.

Пример 2. Экспорт логов в CSV:

Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4776,4778} | Select-Object TimeCreated, Id, @{Name='User'; Expression={$_.Properties[0].Value}}, @{Name='IP'; Expression={$_.Properties[1].Value}} | Export-Csv -Path "C:\rdp_logs.csv" -NoTypeInformation

Файл rdp_logs.csv можно открыть в для дальнейшего анализа.

Пример 3. Поиск подозрительных IP-адресов:

$rdpEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4776}
$rdpEvents | Where-Object { $_.Properties[1].Value -notmatch "^192\.168|^10\." } | Select-Object TimeCreated, @{Name='User'; Expression={$_.Properties[0].Value}}, @{Name='IP'; Expression={$_.Properties[1].Value}}

Эта команда ищет подключения с IP-адресов, которые не входят в локальные сети (192.168.x.x или 10.x.x.x).

Способ 4: Просмотр активных сеансов RDP

Если вам нужно увидеть текущие активные подключения по RDP, используйте утилиту qwinsta (или query session).

Откройте Командную строку и выполните:

qwinsta

Вы увидите список всех активных сеансов, включая:

• console — локальный сеанс;
• rdp-tcp — подключения по RDP;
• ID сеанса, имя пользавателя, состояние (Active, Disconnected).

Пример вывода:

 SESSIONNAME USERNAME ID STATE TYPE DEVICE
 console 0 Conn wdcon
 rdp-tcp#1 User1 1 Active rdpwd
 rdp-tcp 65536 Listen rdpwd

Чтобы отключить подозрительный сеанс, используйте:

logoff 1

Где 1 — сеанса из вывода qwinsta.

⚠️ Внимание: Отключение активного сеанса может прервать работу пользователя. Убедитесь, что это действительно необходимая мера.

Способ 5: Сторонние утилиты для мониторинга RDP

Если встроенные средства кажутся неудобными, можно использовать сторонние программы. Они часто предлагают более наглядный интерфейс и дополнительные функции.

Для домашнего использования подойдут бесплатные утилиты вроде RDP Soft или Remote Desktop Logger. Для корпоративных нужд лучше выбрать решения от ManageEngine или SolarWinds.

Как настроить аудит RDP-подключений

По умолчанию ведёт журнал событий безопасности, но иногда нужно убедиться, что аудит включён. Для этого:

1. Откройте Локальную политику безопасности (secpol.msc);
2. Перейдите в Локальные политики → Политика аудита;
3. Найдите параметр Аудит входа в систему и убедитесь, что он включён для Успеха и Отказа;
4. Для более детального логгирования включите Аудит изменения политики и Аудит входа в систему через удалённый рабочий стол (если есть).

Если вы работаете в домене, настройки аудита могут управляться через Group Policy (gpedit.msc).

Как проверить, включён ли аудит RDP в Group Policy

Откройте gpedit.msc, перейдите в Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Локальные политики → Политика аудита и проверьте, включены ли параметры Аудит входа в систему и Аудит изменения политики.

Практика: Пошаговая инструкция для начинающих

Если вы новичок и не знаете, с чего начать, следуйте этой инструкции:

1. Проверьте текущие подключения: выполните qwinsta в командной строке;
2. Изучите журнал безопасности: откройте eventvwr.msc, перейдите в Безопасность и отфильтруйте события по ID 4776, 4778;
3. Экспортируйте логи: в Event Viewer выберите нужные события, кликните правой кнопкой и выберите Сохранить выбранные события;
4. Проанализируйте IP-адреса: в выполните команду для поиска подозрительных подключений;
5. Настройте аудит: убедитесь, что в secpol.msc включён аудит входа в систему.

Если вы нашли подозрительные подключения, сразу измените пароли и проверьте систему на наличие вредоносного ПО.

Часто задаваемые вопросы

Можно ли увидеть историю RDP-подключений без прав администратора?

Нет. Для просмотра журнала безопасности (Event Viewer) и выполнения команд в требуются права администратора. Обычные пользователи не могут получить доступ к этим данным.

Как узнать, с какого устройства было подключение по RDP?

В журнале безопасности (Event ID 4776) указывается IP-адрес клиента. Чтобы узнать устройство, можно проверить, какому устройству в вашей сети соответствует этот IP (через маршрутизатор или DHCP-сервер).

Почему в журнале нет событий RDP?

Возможные причины: аудит отключён в настройках политики безопасности, события удалены (журналы имеют ограниченный размер), или подключения происходили до включения логгирования. Проверьте настройки в secpol.msc.

Можно ли отключить логгирование RDP?

Технически да, но это не рекомендуется. Отключение аудита ослабит безопасность системы. Если вы всё же хотите это сделать, отключите соответствующие политики в secpol.msc или gpedit.msc.