记录3389端口远程登录日志的方法（亲测有效）

标签：find   rdp   默认值   增加   用户   任务   批处理文件   bat   netstat   

网上有很多相关内容介绍，亲测以下方法有效：

1、建立一个名为rdp.bat的批处理文件，内容为：
date /t >> C:\123\rdplog.txt
time /t >> C:\123\rdplog.txt
netstat -an | find ":3389" | find "ESTABLISHED" >> C:\123\rdplog.txt

2、运行->gpedit.msc->计算机配置->window设置->安全设置->本地策略->审核策略->审核用户登录事件
在窗口内勾选审核操作，成功和失败。
注：很多网上内容中没有这一步导致无法记录凭据验证事件。

3、（1）打开事件查看器--Windows日志--安全，找到任务类别为登录的事件（事件ID为4624），点击鼠标右键，点“将任务附加到此事件”。按提示选择三次下一步（均用默认值即可），在启动程序页中选择前面建立的rdp.bat文件，下一步，到完成即可。
（2）现把任务类别为凭据验证的事件（事件ID为4776），也增加启动程序。方法同上。

记录3389端口远程登录日志的方法（亲测有效）

标签：find   rdp   默认值   增加   用户   任务   批处理文件   bat   netstat   

原文地址：https://www.cnblogs.com/tywusy/p/12202430.html