Y a-t-il un fichier journal pour les connexions RDP ?

Un fichier journal est-il conservé pour les connexions RDP ? Bien sûr, vous pouvez surveiller les connexions RDP entrantes et sortantes. Les informations relatives à ces événements sont enregistrées lorsqu’un utilisateur se connecte à un hôte de bureau à distance. Il suffit de savoir où les trouver.

Alors, comment vérifier les journaux de connexion RDP sur un serveur Windows ? Dans le texte suivant, on vous présente des méthodes applicables pour analyser les journaux RDP à la fois sur Windows Server 2025/2022/2019/2016/2012 R2 et sur les éditions bureau (Windows 11, 10, 8.1, 8 et 7).

Partie 1. Vérifier les journaux de connexions RDP entrantes sur un serveur Windows

Il existe trois méthodes pour vous aider à vérifier les journaux des connexions RDP entrantes sur un serveur Windows.

Méthode 1. Vérifier les journaux de connexions RDP entrantes via l'Observateur d'événements

La première méthode pour vérifier les journaux des connexions RDP entrantes sur un serveur Windows consiste à utiliser l'Observateur d'événements.

Étape 1. Appuyez sur Win + R pour ouvrir la boîte de dialogue Exécuter, puis saisissez "eventvwr.msc" et appuyez sur OK pour ouvrir l'Observateur d'événements.

Étape 2. Naviguez ici : Journaux des applications et des services > Microsoft >Windows > TerminalServices-RemoteConnectionManager > Operational. Cliquez avec le bouton droit sur Operational et choisissez Filtrer le journal actuel...

Étape 3. L'ID d'événement pour les services de bureau à distance est 1149. Saisissez ensuite 1149 pour filtrer le journal.

Étape 4. Vous obtiendrez ensuite une liste d'événements avec l'historique de toutes les connexions RDP vers ce serveur.

Étape 5. Cliquez sur l'un d'eux pour voir les détails de la connexion RDP, y compris l'adresse IP, le nom de l'ordinateur, l'heure de connexion, etc.

Méthode 2. Vérifier les journaux des connexions RDP entrantes via le Registre

Vous pouvez également vérifier les journaux des connexions RDP entrantes dans le Registre.

Étape 1. Appuyez sur Win + R pour ouvrir la boîte de dialogue Exécuter, puis tapez "regedit" et appuyez sur OK pour ouvrir le Registre.

Étape 2. Accédez ici : HKEY_CURRENT_USER > SOFTWARE > Microsoft > Terminal Server Client. Développez la clé Default, elle contient l'historique des 10 dernières connexions RDP.

Étape 3. Vous pouvez également développer la clé Servers, elle contient la liste de tous les serveurs RDP et noms d'utilisateur utilisés précédemment pour se connecter. Si vous souhaitez effacer l'historique des connexions RDP, vous pouvez faire un clic droit dessus et le supprimer.

Méthode 3. Vérifier les journaux des connexions RDP entrantes via PowerShell

Le script PowerShell ci-dessous propose une autre méthode pour inspecter les journaux des connexions Bureau à distance sur Windows Server 2012 R2/2016/2019/2022. Il affiche l'historique de toutes les connexions RDP à partir des journaux d'événements du serveur RDS terminal pour la journée en cours. Le tableau résultant affiche l'heure de connexion, l'adresse IP du client, le nom d'utilisateur distant et le type de connexion.

Étape 1. Faites un clic droit sur Démarrer, puis choisissez Windows PowerShell (Admin).

Étape 2. Saisissez le script suivant, puis vous verrez les journaux de connexion RDP entrants.

Get-EventLog -LogName Security -after (Get-date -hour 0 -minute 0 -second 0)| ?{(4624,4778) -contains $_.EventID -and $_.Message -match 'logon type:\s+(10)\s'}| %{ (new-object -Type PSObject -Property @{ TimeGenerated = $_.TimeGenerated ClientIP = $_.Message -replace '(?smi).*Source Network Address:\s+([^\s]+)\s+.*','$1' UserName = $_.Message -replace '(?smi).*\s\sAccount Name:\s+([^\s]+)\s+.*','$1' UserDomain = $_.Message -replace '(?smi).*\s\sAccount Domain:\s+([^\s]+)\s+.*','$1' LogonType = $_.Message -replace '(?smi).*Logon Type:\s+([^\s]+)\s+.*','$1' }) } | sort TimeGenerated -Descending | Select TimeGenerated, ClientIP ` , @{N='Username';E={'{0}\{1}' -f $_.UserDomain,$_.UserName}} ` , @{N='LogType';E={ switch ($_.LogonType) { 2 {'Interactive - local logon'} 3 {'Network connection to shared folder)'} 4 {'Batch'} 5 {'Service'} 7 {'Unlock (after screensaver)'} 8 {'NetworkCleartext'} 9 {'NewCredentials (local impersonation process under existing connection)'} 10 {'RDP'} 11 {'CachedInteractive'} default {"LogType Not Recognised: $($_.LogonType)"} } }}

Partie 2. Vérifier les journaux de connexion RDP sortants sur un serveur Windows

Les journaux de connexion sortants RDP peuvent également être consultés côté client. Il existe deux options.

Méthode 1. Vérifier les journaux de connexion sortants RDP via l'Observateur d'événements

Le journal d'événements suivant contient les journaux de connexion sortants RDP : Journaux des applications et des services> Microsoft > Windows > TerminalServices-ClientActiveXCore > Operational. Lorsqu'un utilisateur se connecte à un hôte RDS Windows Server distant ou à un ordinateur Windows 10/11, par exemple, l'événement ID 1102 se produit.

Méthode 2. Vérifier les journaux de connexion sortants RDP via PowerShell

Il existe un script PowerShell qui permet d'afficher l'historique des connexions clientes RDP sur l'ordinateur actuel. Le script renvoie les SIDs des utilisateurs qui ont initié des connexions RDP sur cet ordinateur, ainsi que les noms DNS/ adresses IP des hôtes Bureau à distance auxquels les utilisateurs se sont connectés.

$properties = @( @{n='TimeStamp';e={$_.TimeCreated}} @{n='LocalUser';e={$_.UserID}} @{n='Target RDP host';e={$_.Properties[1].Value}} ) Get-WinEvent -FilterHashTable @{LogName='Microsoft-Windows-TerminalServices-RDPClient/Operational';ID='1102'} | Select-Object $properties

AnyViewer : Vérifiez facilement les journaux de connexion sortants sur Windows 🔥

Si vous utilisez le logiciel de bureau à distance gratuit AnyViewer, il vous sera facile de vérifier les connexions distantes sortantes que vous avez effectuées depuis votre ordinateur. AnyViewer prend en charge à la fois les serveurs Windows et les systèmes d'exploitation Windows.

★Avantages :

Simple à utiliser avec une interface conviviale.

Totalement gratuit pour un usage personnel.

Il peut être utilisé sur Windiows, macOS, iOS, Android.

Il permet le transfert de fichiers ordinateur vers ordinateur, le chat en texte, la miroir d'écran mobile, le contrôle sans surveillance, etc.

Il sécurise vos données avec : Cryptage asymétrique ECC 256 bits de bout en bout, Authentification à deux facteurs, etc.

Suivez les étapes détaillées ci-dessous.

Téléchargez, installez et lancez AnyViewer sur votre ordinateur.

Étape 1. Si vous avez déjà un compte AnyViewer, vous pouvez vous connecter directement. Sinon, cliquez sur S'inscrire et remplissez les informations d'inscription pour créer un compte AnyViewer.

Étape 2. Après la connexion, l'appareil sera automatiquement lié au compte (Appareils login).

Étape 3. Si vous souhaitez contrôler un autre appareil, installez également AnyViewer sur celui-ci. Connectez-vous au même compte. Allez dans l'onglet Appareils, localisez ensuite l'appareil cible, choisissez Contrôle en un clic.

Notes :✎...

Les appareils connectés au même compte (Appareils Login) apparaîtront dans la liste « Mes appareils ».

Les utilisateurs peuvent effectuer un contrôle en un clic (sans surveillance) sur leurs Appareils Login.

Les utilisateurs peuvent également contrôler d’autres appareils en saisissant l’ID de l’appareil et le code de sécurité temporaire. 

Étape 4. Une fois la connexion établie, le bureau distant apparaîtra. Vous pouvez maintenant contrôler ce PC.

Étape 5. Lorsque la connexion est terminée, vous pouvez vérifier la liste Récemment connecté. Cette liste répertorie les 10 dernières connexions distantes (pour un compte gratuit) que vous avez effectuées.

Étape 6. Vous pouvez également choisir un appareil spécifique et cliquer sur Propriétés. Vous pouvez voir l'adresse IP de l'ordinateur auquel vous vous êtes connecté, ainsi que l'heure de la connexion spécifique.

★Conseils : Améliorez votre expérience AnyViewer avec un forfait Premium pour accéder à des fonctionnalités avancées :

Plus d’Appareils login pour contrôler davantage d'ordinateurs en un seul clic.

Plus de Sessions simultanées pour contrôler plusieurs appareils en même temps.

Transfert de fichiers à une vitesse supérieure.

Le mode privé pour protéger vos données : masquer l’écran distant et désactiver la souris.

Une qualité d’image encore plus haute définition.

Pour les entreprises : déploiement en masse et création de groupes pour une gestion centralisée.

Et bien plus encore.

Conclusion

Cet article présente principalement les moyens de vérifier les journaux de connexion RDP sur un serveur Windows. Cela serait très utile si vous souhaitez connaître les connexions RDP entrantes et sortantes sur votre serveur Windows. Si vous utilisez AnyViewer, il vous sera plus facile de vérifier les connexions à distance que vous avez établies.