Tutorial: Como verificar logs de conexão do RDP no Windows Server
Este post apresenta principalmente as maneiras de verificar os logs de conexão do RDP no Windows Server. Se você deseja saber as conexões de entrada e saída do RDP em seu Windows Server, continue lendo!
Por Tyler / Atualizado em 21/01/2025
Há um arquivo de log para conexões RDP?
Um arquivo de log é mantido para conexões RDP? Claro, é possível monitorar as conexões RDP de entrada e saída. As informações sobre esses eventos são salvas quando um usuário se conecta a um host de Área de Trabalho Remota. Você apenas precisa saber como encontrá-las.
Como verificar os logs de conexão do Windows Server via RDP
Aqui estão três formas de ajudá-lo a verificar os logs de conexão de entrada e saída do Windows Server via RDP. Essas formas são aplicáveis tanto para análise dos logs RDP nas edições Windows Server 2022/2019/2016/2012 R2, quanto nas edições desktop (Windows 11, 10, 8.1, 8 e 7).
Parte 1. Como verificar os logs de conexão de entrada do Windows Server via RDP
Há três formas de ajudá-lo a verificar os logs de conexão de entrada do Windows Server via RDP.
Forma 1. Verificar os logs de conexão RDP de entrada via Event Viewer
A primeira forma de verificar os logs de conexão RDP de entrada no Windows Server é usando o Event Viewer.
Passo 1. Pressione Win R para abrir a caixa de diálogo Executar, depois digite "eventvwr.msc" e pressione Enter para abrir o Event Viewer.
Passo 2. Navegue até: Logs de Aplicativos e Serviços > Microsoft > Windows > TerminalServices-RemoteConnectionManager > Operational. Clique com o botão direito em Operational e escolha Filtrar log atual.
Passo 3. O ID do Evento dos Serviços de Área de Trabalho Remota é 1149. Então, digite 1149 para filtrar o log.
Passo 4. Em seguida, você verá uma lista de eventos com o histórico de todas as conexões RDP a este servidor.
Passo 5. Clique em um deles para ver os detalhes da conexão RDP, incluindo endereço IP, nome do computador, horário de login, etc.
Forma 2. Verificar logs de conexão RDP recebidas via Registro
Também é possível verificar os logs de conexão RDP recebidas no Registro.
Passo 1. Pressione Win R para invocar a caixa de diálogo Executar, em seguida digite "regedit" e pressione OK para abrir o Registro.
Passo 2. Navegue até aqui: HKEY_CURRENT_USER > SOFTWARE > Microsoft > Terminal Server Client. Expanda a chave Default, ela armazena o histórico das últimas 10 conexões RDP.
Passo 3. Você também pode expandir a chave Servers, ela contém a lista de todos os servidores RDP e os nomes de usuário usados anteriormente para fazer login. Se desejar limpar o histórico de conexão RDP, você pode clicar com o botão direito nessa chave e excluí-la.
Forma 3. Verificar logs de conexão RDP recebidas via PowerShell
O script PowerShell listado abaixo fornece outro método para inspecionar logs de Conexão de Área de Trabalho Remota em Windows Server 2012 R2/2016/2019/2022. Ele exibe o histórico de todas as conexões RDP a partir dos logs de eventos do servidor RDS terminal para o dia atual. A tabela resultante exibe o horário da conexão, o endereço IP do cliente, o nome de usuário remoto e o tipo de logon.
Passo 1. Clique com o botão direito em Iniciar, e então escolha Windows PowerShell (Admin).
Passo 2. Insira o seguinte script e você verá os registros de conexão RDP recebidos.
|
Get-EventLog -LogName Security -after (Get-date -hour 0 -minute 0 -second 0)| ?{(4624,4778) -contains $_.EventID -and $_.Message -match "logon type:\s (10)\s"}| %{ (new-object -Type PSObject -Property @{ TimeGenerated = $_.TimeGenerated ClientIP = $_.Message -replace "(?smi).*Source Network Address:\s ([^\s] )\s .*","$1" UserName = $_.Message -replace "(?smi).*\s\sAccount Name:\s ([^\s] )\s .*","$1" UserDomain = $_.Message -replace "(?smi).*\s\sAccount Domain:\s ([^\s] )\s .*","$1" LogonType = $_.Message -replace "(?smi).*Logon Type:\s ([^\s] )\s .*","$1" }) } | sort TimeGenerated -Descending | Select TimeGenerated, ClientIP ` , @{N="Username";E={"{0}\{1}" -f $_.UserDomain,$_.UserName}} ` , @{N="LogType";E={ switch ($_.LogonType) { 2 {"Interactive - logon local"} 3 {"Conexão de rede a pasta compartilhada"} 4 {"Lote"} 5 {"Serviço"} 7 {"Desbloquear (após protetor de tela)"} 8 {"Texto limpo da rede"} 9 {"Novas Credenciais (processo de impersonação local sob conexão existente)"} 10 {"RDP"} 11 {"Interativo em cache"} default {"Tipo de Log não Reconhecido: $($_.LogonType)"} } }} |
Parte 2. Como verificar os registros de conexão RDP de saída do Windows Server
Os registros de conexão RDP de saída também podem ser visualizados no lado do cliente. Existem duas opções.
Opção 1. Verificar os registros de conexão RDP de saída via Visualizador de Eventos
O seguinte log de eventos contém os registros de conexão RDP de saída: Logs de Aplicativos e Serviços > Microsoft > Windows > TerminalServices-ClientActiveXCore > Microsoft-Windows-TerminalServices-RDPClient > Operacional. Quando um usuário se conecta a um host RDS do Windows Server remoto ou a um computador com Windows 10/11, por exemplo, ocorre o Evento ID 1102.
Opção 2. Verificar os registros de conexão RDP de saída via PowerShell
Há um script PowerShell que ajudará a exibir o histórico de conexões do cliente RDP no computador atual. O script retorna os SIDs dos usuários que iniciaram conexões RDP neste computador, bem como os nomes DNS/endereços IP dos hosts de Área de Trabalho Remota aos quais os usuários se conectaram.
| $properties = @( @{n="TimeStamp";e={$_.TimeCreated}} @{n="Usuário Local";e={$_.UserID}} @{n="Host RDP de destino";e={$_.Properties[1].Value}} ) Get-WinEvent -FilterHashTable @{LogName="Microsoft-Windows-TerminalServices-RDPClient/Operational";ID="1102"} | Select-Object $properties |
AnyViewer: Verifique facilmente os registros de conexão de saída no Windows
Se você utiliza o software gratuito de Área de Trabalho Remota AnyViewer, será fácil verificar as conexões remotas de saída que você fez a partir do seu computador. O AnyViewer suporta tanto servidores Windows quanto sistemas operacionais Windows. Confira os passos detalhados abaixo.
Passo 1. Baixe, instale e execute o AnyViewer no seu computador.
Passo 2. Se você já tem uma conta AnyViewer, você pode fazer login diretamente. Caso contrário, preencha as informações de registro e clique em Cadastre-separa criar uma conta no AnyViewer.
Passo 3. Em seguida, você verá que fez login com sucesso no AnyViewer. Vá para a guia Dispositivo, verifique a lista Conectados atualmente. Aqui estão listadas as últimas 10 conexões remotas que você fez.
Passo 4. Você também pode escolher um dispositivo específico e clicar em Propriedades. Você verá o endereço IP do computador ao qual você se conectou e o horário específico da conexão.
Conclusão
Este post apresenta principalmente as formas de verificar os registros de conexão do Windows Server RDP. Será muito útil se você quiser saber as conexões RDP de entrada e saída em seu Windows Server. Se você usa o AnyViewer, será mais fácil para você verificar a conexão remota que você fez.
