Microsoft windows terminalservices remoteconnectionmanager

В этой статье мы рассмотрим, как получить и проанализировать логи RDP подключений в Windows. Логи RDP подключений позволяют администраторам терминальных RDS серверов/ферм получить информацию о том, какие пользователи подключались к серверу, когда был выполнен вход и когда сеанс завершен, с какого устройства (имя или IP адрес) подключался пользователь.

Описанные методики получения и исследования RDP логов применима как к Windows Server 2022/2019/2016/2012R2, так и для десктопных версий Windows 11, 10, 8.1 c.

События RDP подключений в журналах Windows (Event Viewer)

Когда пользователь удаленно подключается к RDS серверу или удаленному столу Windows (RDP), информация об этих событиях сохраняется в журналы Windows. Рассмотрим основные этапы RDP подключения и связанные с ними события в Event Viewer.

1. Network Connection
2. Authentication
3. Logon
4. Session Disconnect/Reconnect
5. Logoff

Network Connection: – событие установления сетевого подключение к серверу от RDP клиента пользователя. Событие с EventID – 1149 (Remote Desktop Services: User authentication succeeded). Наличие этого события не свидетельствует об успешной аутентификации пользователя. Этот журнал находится в разделе Applications and Services Logs -> Microsoft -> Windows -> Terminal-Services-RemoteConnectionManager -> Operational. Включите фильтр по данному событию (ПКМ по журналу-> Filter Current Log -> EventId 1149).

Картинка с сайта: winitpro.ru

С помощью PowerShell можно вывести список всех попыток RDP подключений:

$RDPAuths = Get-WinEvent -LogName 'Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational' -FilterXPath '<QueryList><Query Id="0"><Select>*[System[EventID=1149]]</Select></Query></QueryList>'
[xml[]]$xml=$RDPAuths|Foreach{$_.ToXml()}
$EventData = Foreach ($event in $xml.Event)
{ New-Object PSObject -Property @{
TimeCreated = (Get-Date ($event.System.TimeCreated.SystemTime) -Format 'yyyy-MM-dd hh:mm:ss K')
User = $event.UserData.EventXML.Param1
Domain = $event.UserData.EventXML.Param2
Client = $event.UserData.EventXML.Param3
}
} $EventData | FT

Картинка с сайта: winitpro.ru

В результате у вас получится список с историей всех сетевых RDP подключений к данному серверу. В событии содержится имя пользователя, домен (если используется NLA аутентификация, при отключенном NLA текст события выглядит иначе) и IP адрес компьютера пользователя.

Картинка с сайта: winitpro.ru

Authentication: – успешная или неудачная аутентификация пользователя на сервере. Журнал Windows -> Security. Здесь нас могут интересовать события с EventID – 4624 (успешная аутентификация — An account was successfully logged on) или 4625 (ошибка аутентификации — An account failed to log on). Обратите внимание на значение LogonType в событии.

• LogonType = 10 или 3 — при входе через терминальную службу RDP —.
• LogonType = 7, значит выполнено переподключение к уже существующему RDP сеансу.
• LogonType = 5 – событие RDP подключения к консоли сервера (в режиме mstsc.exe /admin)

Вы можете использовать события с ошибками аутентификации для защиты от удаленного перебора паролей через RDP. СВы можете автоматически блокировать на файерволе IP адреса, с которых выполняется подбор пароля, простым PowerShell скриптом (см. статью).

Картинка с сайта: winitpro.ru

При этом имя пользователя содержится в описании события в поле Account Name, имя компьютера в Workstation Name, а имя пользователя в Source Network Address.

Обратите внимание на значение поля LogonID – это уникальный идентификатор сессии пользователя, с помощью которого можно отслеживать дальнейшую активность данного пользователя. Но при отключении от RDP сессии (disconnect) и повторного переподключения к той же сессии, пользователю будет выдан новый TargetLogonID (хотя RDP сессия осталась той же самой).

Вы можете получить список событий успешных авторизаций по RDP (событие 4624) с помощью такой команды PowerShell.

Get-EventLog security -after (Get-date -hour 0 -minute 0 -second 0) | ?{$_.eventid -eq 4624 -and $_.Message -match 'logon type:\s+(10)\s'} | Out-GridView

Картинка с сайта: winitpro.ru

Logon: – RDP вход в систему, EventID – 21 (Remote Desktop Services: Session logon succeeded. Это событие появляется после успешной аутентификации пользователя. Этот журнал находится в разделе Applications and Services Logs -> Microsoft -> Windows -> TerminalServices-LocalSessionManager -> Operational. Как вы видите, здесь можно узнать идентификатор RDP сессии для пользователя — Session ID.

Картинка с сайта: winitpro.ru

Событие с EventID – 21 (Remote Desktop Services: Shell start notification received) означает успешный запуск оболочки Explorer (появление окна рабочего стола в RDP сессии).

Session Disconnect/Reconnect – события отключения и переподключения к сессии имеют разные коды в зависимости от того, что вызвало отключение пользователя (отключение по неактивности, заданному в таймаутах для RDP сессий; выбор пункта Disconnect в сессии; завершение RDP сессии другим пользователем или администратором и т.д.). Эти события находятся в разделе журналов Applications and Services Logs -> Microsoft -> Windows -> TerminalServices-LocalSessionManager -> Operational. Рассмотрим RDP события, которые могут быть полезными:

• EventID – 24 (Remote Desktop Services: Session has been disconnected) – пользователь отключился от RDP сессии.
• EventID – 25 (Remote Desktop Services: Session reconnection succeeded) – пользователь переподключился к своей имеющейся RDP сессии на сервере.
• EventID – 39 (Session <A> has been disconnected by session <B>) – пользователь сам отключился от своей RDP сессии, выбрав соответствующий пункт меню (а не просто закрыл окно RDP клиента). Если идентификаторы сессий разные, значит пользователя отключил другой пользователь (или администратор).
• EventID – 40 (Session <A> has been disconnected, reason code <B>). Здесь нужно смотреть на код причины отключения в событии. Например:
  • reason code 0 (No additional information is available) – обычно говорит о том, что пользователь просто закрыл окно RDP клиента.
  • reason code 5 (The client’s connection was replaced by another connection) – пользователь переподключился к своей старой сессии.
  • reason code 11 (User activity has initiated the disconnect) – пользователь сам нажал на кнопку Disconnect в меню.

Событие с EventID – 4778 в журнале Windows -> Security (A session was reconnected to a Window Station). Пользователь переподключился к RDP сессии (пользователю выдается новый LogonID).

Событие с EventID 4779 в журнале Windows -> Security (A session was disconnected from a Window Station). Отключение от RDP сеанса.

Logoff: – выход пользователя из системы. При этом в журнале Applications and Services Logs -> Microsoft -> Windows -> TerminalServices-LocalSessionManager -> Operational регистрируется событие с EventID 23 (Remote Desktop Services: Session logoff succeeded).

Картинка с сайта: winitpro.ru

При этом в журнале Security нужно смотреть событие EventID 4634 (An account was logged off).

Событие Event 9009 (The Desktop Window Manager has exited with code (<X>) в журнале System говорит о том, что пользователь инициировал завершение RDP сессии, и окно и графический shell пользователя был завершен.

EventID 4647 — User-initiated logoff

Получаем логи RDP подключений в Windows с помощью PowerShell

Ниже представлен небольшой PowerShell скрипт, который выгружает из журналов терминального RDS сервера историю всех RDP подключений за текущий день. В полученной таблице указано время подключения, IP адрес клиента и имя пользователя (при необходимости вы можете включить в отчет другие типы входов).

Get-EventLog -LogName Security -after (Get-date -hour 0 -minute 0 -second 0)| ?{(4624,4778) -contains $_.EventID -and $_.Message -match 'logon type:\s+(10)\s'}| %{
(new-object -Type PSObject -Property @{
TimeGenerated = $_.TimeGenerated
ClientIP = $_.Message -replace '(?smi).*Source Network Address:\s+([^\s]+)\s+.*','$1'
UserName = $_.Message -replace '(?smi).*\s\sAccount Name:\s+([^\s]+)\s+.*','$1'
UserDomain = $_.Message -replace '(?smi).*\s\sAccount Domain:\s+([^\s]+)\s+.*','$1'
LogonType = $_.Message -replace '(?smi).*Logon Type:\s+([^\s]+)\s+.*','$1'
})
} | sort TimeGenerated -Descending | Select TimeGenerated, ClientIP `
, @{N='Username';E={'{0}\{1}' -f $_.UserDomain,$_.UserName}} `
, @{N='LogType';E={
switch ($_.LogonType) {
2 {'Interactive - local logon'}
3 {'Network conection to shared folder)'}
4 {'Batch'}
5 {'Service'}
7 {'Unlock (after screensaver)'}
8 {'NetworkCleartext'}
9 {'NewCredentials (local impersonation process under existing connection)'}
10 {'RDP'}
11 {'CachedInteractive'}
default {"LogType Not Recognised: $($_.LogonType)"}
}
}}

Картинка с сайта: winitpro.ru

Можно экспортировать логи RDP подключений из журнала в CSV файл (для дальнейшего анализа в таблице Excel). Экспорт журнала можно выполнить из консоли Event Viewer (при условии что логи не очищены) или через командную строку:

WEVTUtil query-events Security > c:\ps\security_log.txt

Или с помощью PowerShell:

get-winevent -logname "Microsoft-Windows-TerminalServices-LocalSessionManager/Operational" | Export-Csv c:\ps\rdp-log.csv  -Encoding UTF8

Если ваши пользователи подключаются к RDS серверам через шлюз удаленных рабочих столов Remote Desktop Gateway, вы можете обрабатывать логи подключений пользователей по журналу Microsoft-Windows-TerminalServices-Gateway по EventID 302. Например, следующий PowerShell скрипт выведет полную историю подключений через RD Gateway указанного пользователя:

$rdpusername="kbuldogov"
$properties = @(
@{n='User';e={$_.Properties[0].Value}},
@{n='Source IP Adress';e={$_.Properties[1].Value}},
@{n='TimeStamp';e={$_.TimeCreated}}
@{n='Target RDP host';e={$_.Properties[3].Value}}
)
(Get-WinEvent -FilterHashTable @{LogName='Microsoft-Windows-TerminalServices-Gateway/Operational';ID='302'} | Select-Object $properties) -match $rdpusername

Картинка с сайта: winitpro.ru

Список текущих RDP сессий на сервере можно вывести командой:

qwinsta

Команда возвращает как идентификатор сессии (ID), имя пользователя (USERNAME)и состояние (Active/Disconnect). Эту команду удобна использовать, когда нужно определить ID RDP сессии пользователя при теневом подключении.

Картинка с сайта: winitpro.ru

Список запущенных процессов в конкретной RDP сессии (указывается ID сессии):

qprocess /id:157

Картинка с сайта: winitpro.ru

Логи RDP подключений на клиентах Windows

Также вы можете изучать логи исходящих подключений на стороне RDP клиента. Они доступны в журнале событий Application and Services Logs -> Microsoft -> Windows -> TerminalServices-ClientActiveXCore -> Microsoft-Windows-TerminalServices-RDPClient -> Operation.

Например, событие с Event ID 1102 появляется, когда компьютер устанавливает подключение с удаленным RDS хостом Windows Server или компьютером с Windows 10/11 с включенной службой RDP (десктопные версии Windows также поддерживают несколько одновременных rdp подключений).

The client has initiated a multi-transport connection to the server 192.168.31.102.

Картинка с сайта: winitpro.ru

Следующий RDP скрипт выведет историю RDP подключений на указанном компьютере (для получения событий Event Log используется командлет Get-WinEvent):

$properties = @(
@{n='TimeStamp';e={$_.TimeCreated}}
@{n='LocalUser';e={$_.UserID}}
@{n='Target RDP host';e={$_.Properties[1].Value}}
)
Get-WinEvent -FilterHashTable @{LogName='Microsoft-Windows-TerminalServices-RDPClient/Operational';ID='1102'} | Select-Object $properties

Картинка с сайта: winitpro.ru

Скрипт возвращает SID пользователей, которые инициировали RDP подключения на этом компьютере и DNS имена/IP адреса серверов, к которым подключались пользователи. Вы можете преобразовать SID в имена пользователей.

Также история RDP подключений пользователя хранится в реестре.

Skip to content

%SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Operational.evtx

Last Updated: 12/16/2024
[Reading Time Required: 3.5 minutes]

Windows 7 Event Log files such as Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx utilize the EVTX file extension. This file is considered a System (Windows 7 Event Log) file, and was first created by NCH Software for the NCH Express Scribe 8.26 software package.

The initial introduction of Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx released in KMPlayer 2019.06.13.02 was for Windows 10 on 06/13/2019.

The newest file release date for NCH Express Scribe 8.26 was 11/27/2019 [version 8.26].

Below, you find comprehensive file information, instructions for simple EVTX file troubleshooting, and list of free Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx downloads for each available file version.

What are Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx Error Messages?

Most EVTX errors are due to missing or corrupt files. Your Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx file could be missing due to accidental deletion, uninstalled as a shared file of another program (shared with NCH Express Scribe), or deleted by a malware infection. Furthermore, Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx file corruption could be caused from a power outage when loading NCH Express Scribe, system crash while loading or saving Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx, bad sectors on your storage media (usually your primary hard drive), or malware infection. Thus, it’s critical to make sure your anti-virus is kept up-to-date and scanning regularly.

How to Fix Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx Errors in 3 Steps (Time to complete: ~5-15 minutes)

If you’re encountering one of the error messages above, follow these troubleshooting steps to resolve your Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx issue. These troubleshooting steps are listed in the recommended order of execution.

Step 1: Restore your PC back to the latest restore point, «snapshot», or backup image before error occurred.

To begin System Restore (Windows XP, Vista, 7, 8, and 10):

1. Hit the Windows Start button
2. When you see the search box, type «System Restore» and press «ENTER«.
3. In the search results, find and click System Restore.
4. Please enter the administrator password (if applicable / prompted).
5. Follow the steps in the System Restore Wizard to choose a relevant restore point.
6. Restore your computer to that backup image.

If the Step 1 fails to resolve the Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx error, please proceed to the Step 2 below.

Картинка с сайта: www.exefiles.com

Step 2: If recently installed NCH Express Scribe (or related software), uninstall then try reinstalling NCH Express Scribe software.

Step 3: Perform a Windows Update.

If Those Steps Fail: Download and Replace Your Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx File (Caution: Advanced)

If none of the previous three troubleshooting steps have resolved your issue, you can try a more aggressive approach (Note: Not recommended for amateur PC users) by downloading and replacing your appropriate Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx file version. We maintain a comprehensive database of 100% malware-free Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx files for every applicable version of NCH Express Scribe. Please follow the steps below to download and properly replace you file:

1. Locate your Windows operating system version in the list of below «Download Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx Files».
2. Click the appropriate «Download Now» button and download your Windows file version.
3. Copy this file to the appropriate NCH Express Scribe folder location:
   

   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\

   Show 71 more directories +

   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\
   Windows 10: C:\Windows\System32\winevt\Logs\

4. Restart your computer.

If this final step has failed and you’re still encountering the error, you’re only remaining option is to do a clean installation of Windows 10.

GEEK TIP : We must emphasize that reinstalling Windows will be a very time-consuming and advanced task to resolve Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx problems. To avoid data loss, you must be sure that you have backed-up all of your important documents, pictures, software installers, and other personal data before beginning the process. If you are not currently backing up your data, you need to do so immediately.

Download Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx Files (Malware-Tested 100% Clean)

CAUTION : We strongly advise against downloading and copying Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx to your appropriate Windows system directory. NCH Software typically does not release NCH Express Scribe EVTX files for download because they are bundled together inside of a software installer. The installer’s task is to ensure that all correct verifications have been made before installing and placing Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Admin.evtx and all other EVTX files for NCH Express Scribe. An incorrectly installed EVTX file may create system instability and could cause your program or operating system to stop functioning altogether. Proceed with caution.

You are downloading trial software. The purchase of a one-year software subscription at the price of $29.97 USD is required to unlock all software features. Subscription auto-renews at the end of the term (Learn more). By clicking the «Start Download» button above and installing «Software», I acknowledge I have read and agree to the Solvusoft End User License Agreement and Privacy Policy.