Windows conserva un registro di ogni sessione di Desktop Remoto, ma non in un unico posto. I dettagli finiscono suddivisi tra tre diversi registri del Visualizzatore eventi, nessuno dei quali si trova nel percorso predefinito dei Registri di Windows, quindi una ricerca diretta lì di solito non restituisce nulla.
Una volta che sai quale registro contiene quali eventi, estrarre una cronologia completa delle sessioni richiede pochi minuti invece di un’ora di tentativi.
Questa guida spiega dove Windows archivia i log RDP in ingresso e come leggerli con il Visualizzatore eventi e PowerShell. Tratta anche gli ID evento più importanti, oltre a dove cercare i log delle connessioni in uscita se devi verificare il lato client di una sessione.
Dove Windows memorizza i log di RDP
I log RDP sulla macchina di destinazione si trovano in tre posizioni distinte all’interno del Visualizzatore eventi di Windows:
• Registri applicazioni e servizi > Microsoft > Windows > TerminalServices-LocalSessionManager > Operativo riguarda gli eventi di connessione, disconnessione e logoff della sessione (ID evento 21, 23, 24, 25, 39, 40).
• Registri applicazioni e servizi > Microsoft > Windows > TerminalServices-RemoteConnectionManager > Operativo riguarda gli eventi di connessione a livello di rete (ID evento 1149).
• Registri di Windows > Sicurezza riguarda gli eventi di accesso riuscito, non riuscito e di audit della sessione (ID evento 4624, 4625, 4778, 4779).
Tutti e tre i log registrano l’attività sulla macchina di destinazione, quella a cui ci si connette. Per verificare a quali macchine un utente si è connesso in uscita, consulta le sezioni Registro di sistema e RDPClient verso la fine di questo articolo.
Principali ID evento RDP spiegati
Questi sono gli ID evento che la maggior parte degli amministratori utilizza quando indaga sull’attività di Desktop remoto.
| ID evento | Registro | Significato |
| 1149 | TerminalServices-RemoteConnectionManager | Connessione RDP a livello di rete stabilita (credenziali convalidate) |
| 4624 | Security | Accesso riuscito |
| 4625 | Security | Tentativo di accesso non riuscito |
| 21 | TerminalServices-LocalSessionManager | Sessione remota creata correttamente |
| 24 | TerminalServices-LocalSessionManager | Sessione disconnessa |
| 25 | TerminalServices-LocalSessionManager | Sessione riconnessa |
| 23 | TerminalServices-LocalSessionManager | Sessione terminata |
| 39 | TerminalServices-LocalSessionManager | L’utente si è disconnesso tramite il menu Start oppure è stato disconnesso da un’altra sessione |
| 40 | TerminalServices-LocalSessionManager | Sessione terminata (o riconnessa) con un codice motivo di disconnessione |
| 4778 | Security | Sessione riconnessa a una Window Station |
| 4779 | Security | Sessione disconnessa da una Window Station |
Comprendere l'ID evento 1149
L’ID evento 1149 causa più confusione della maggior parte degli eventi RDP, in parte a causa della sua etichetta: “Autenticazione utente riuscita.”
Nelle versioni attuali di Windows, si attiva una volta che le credenziali del client sono state convalidate sulla rete, prima che avvengano l’accesso interattivo completo e la creazione della sessione. Questo è diverso dal comportamento precedente nelle versioni antecedenti a Windows 7 e Server 2012, quando l’ID 1149 poteva essere registrato per qualsiasi tentativo di connessione indipendentemente dalla validità delle credenziali.
Quindi l’1149 indica che le credenziali sono risultate valide, ma non significa che l’utente abbia ottenuto una sessione funzionante. Limiti di sessione, restrizioni delle autorizzazioni RDP o problemi di licenza possono comunque bloccare l’accesso successivamente. Per confermare che qualcuno sia effettivamente entrato, correlalo con l’ID evento 4624 nel registro di Sicurezza o con l’ID evento 21 nel registro LocalSessionManager.
Come verificare i registri RDP nel Visualizzatore eventi
Visualizzatore eventi è lo strumento standard per visualizzare i registri delle connessioni Desktop remoto su Windows 10, Windows 11 e Windows Server 2016, 2019 e 2022.
Apri Visualizzatore eventi premendo Win + R, digitando:
eventvwr.msc
e premendo Invio.
TerminalServices-LocalSessionManager (Eventi di sessione)
Di solito è il primo registro da controllare perché registra accessi alla sessione, disconnessioni, riconnessioni e chiusure di sessione.
Passare a:
Registri applicazioni e servizi > Microsoft > Windows > TerminalServices-LocalSessionManager
Selezionare Operativo. Fare clic su Filtra registro corrente. Immettere i seguenti ID evento:
21,23,24,25,39,40
Fare clic su OK.
Ogni record include il nome utente, l’ID sessione, i timestamp e l’Indirizzo di rete di origine.
Se Indirizzo di rete di origine contiene un indirizzo IP remoto, Windows ha registrato una sessione RDP in ingresso. Se mostra LOCAL, l’evento rappresenta un accesso locale alla console anziché Desktop remoto.
Ad esempio, se un amministratore sospetta che qualcuno abbia effettuato l’accesso a un server Windows fuori dall’orario di lavoro, filtrando per l’ID evento 21 vengono mostrate tutte le sessioni RDP riuscite con il relativo timestamp e l’indirizzo di origine.
TerminalServices-RemoteConnectionManager (Tentativi di connessione)
Questo log registra il momento in cui le credenziali del client RDP vengono convalidate sulla rete, prima che Windows completi l’accesso interattivo e crei la sessione.
Vai a:
Applications and Services Logs > Microsoft > Windows > TerminalServices-RemoteConnectionManager > Operational
Filtra per:
1149
Questo log è utile quando si risolvono i problemi di accesso perché conferma che le credenziali del client sono state accettate, anche nei casi in cui la sessione non si apre mai completamente a causa di restrizioni di autorizzazione o di licenza successive.
Correlalo con il log Sicurezza o con l’ID evento 21 prima di concludere che qualcuno sia effettivamente entrato in una sessione funzionante, poiché la convalida delle credenziali e il completamento dell’accesso non sono la stessa cosa.
Registro di sicurezza (eventi di autenticazione)
Il registro di sicurezza registra i tentativi di autenticazione riusciti e non riusciti e richiede privilegi di amministratore.
Apri:
Registri di Windows > Sicurezza
Seleziona Filtra registro corrente. Filtra per:
4624,4625,4778,4779
Apri un evento 4624 ed esamina il campo Tipo di accesso.
Un accesso tradizionale a Desktop remoto appare come Tipo di accesso 10 (RemoteInteractive).
Nei sistemi che usano l’Autenticazione a livello di rete (NLA), abilitata per impostazione predefinita nelle versioni moderne di Windows, spesso vedrai il Tipo di accesso 3 (Network) immediatamente prima o insieme al Tipo di accesso 10.
Il solo Tipo di accesso 3 non identifica una sessione RDP, perché Windows lo usa per molti tipi di autenticazione di rete. Correlalo con Indirizzo di rete di origine, ID evento 1149 o ID evento 21 per determinare se l’attività proviene da Desktop remoto.
Come visualizzare i registri RDP con PowerShell
PowerShell offre un modo più rapido per cercare i log RDP rispetto alla navigazione nel Visualizzatore eventi ed è particolarmente utile per l’automazione tramite script e l’esportazione dei dati di audit.
Per recuperare gli eventi di creazione di sessione riusciti:
Get-WinEvent -LogName ‘Microsoft-Windows-TerminalServices-LocalSessionManager/Operational’ |
Where-Object {$_.Id -eq 21} |
Select-Object TimeCreated, Message |
Format-List
Per cercare nel log Security gli accessi a Desktop remoto riusciti registrati oggi:
Get-WinEvent -FilterHashtable @{
LogName=’Security’
Id=4624
StartTime=(Get-Date).Date
} |
Where-Object {$_.Message -match ‘Logon Type:\s+10’}
Per esportare l’attività delle sessioni:
Get-WinEvent -LogName ‘Microsoft-Windows-TerminalServices-LocalSessionManager/Operational’ |
Where-Object {$_.Id -in 21,23,24} |
Export-Csv C:\rdp-session-log.csv -NoTypeInformation
Un’ulteriore verifica utile prima di fare affidamento sui log storici: il log TerminalServices-LocalSessionManager sovrascrive le voci più vecchie quando raggiunge la dimensione massima. Sugli Host sessione Desktop remoto molto attivi, ciò può accadere sorprendentemente in fretta.
Per aumentare la dimensione massima del log:
wevtutil sl Microsoft-Windows-TerminalServices-LocalSessionManager/Operational /ms:20971520
Questo esempio aumenta il log a 20 MB. Regolalo in base alla quantità di cronologia che devi mantenere. Concede più tempo prima che le voci vecchie vengano sovrascritte, ma non rende il log permanente a meno che la conservazione non sia configurata separatamente.
Come visualizzare i registri delle connessioni in uscita di Desktop remoto
Tutto ciò che è stato trattato finora registra le connessioni RDP in ingresso sul computer di destinazione.
Se hai bisogno di indagare a quali computer un utente si è collegato da una workstation Windows, ci sono due fonti di dati utili.
Registro (Cronologia delle connessioni)
Apri l’Editor del Registro di sistema (regedit) e vai a:
HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default
I valori MRU0-MRU9 contengono i dieci nomi host o indirizzi IP più recenti utilizzati dal client Desktop remoto.
Queste voci forniscono la cronologia delle destinazioni ma non includono i timestamp.
Registro di TerminalServices-RDPClient
Se i timestamp sono importanti, controlla:
Registri applicazioni e servizi > Microsoft > Windows > TerminalServices-ClientActiveXCore > Microsoft-Windows-TerminalServices-RDPClient > Operational
Questo log registra l’attività in uscita del client, tra cui:
• Event ID 1024 – il client RDP che tenta di connettersi a un server, registrato nel momento in cui viene avviata la connessione
• Event ID 1102 – dettagli della sequenza di connessione registrati mentre il client stabilisce la sessione, incluso l’indirizzo IP di destinazione
Tra le voci del Registro e questo log, ottieni sia la cronologia delle destinazioni sia i relativi timestamp.
Come HelpWire registra la cronologia delle sessioni
Il Visualizzatore eventi di Windows non è stato progettato per questo tipo di revisione a posteriori. È uno strumento di auditing e risoluzione dei problemi, quindi ricostruire una singola sessione RDP di solito significa estrarre dati da due o tre log separati e allineare manualmente i timestamp.
HelpWire gestisce la cosa in modo diverso: ogni sessione di supporto remoto, assistita o non presidiata, viene registrata come un unico record cronologico: eventi di connessione, dettagli della sessione e cronologia della chat insieme, senza bisogno di incrociare i dati una volta terminata la sessione.
HelpWire protegge le sessioni remote utilizzando il trasporto TLS con crittografia di sessione AES-256. Le sessioni on-demand richiedono l’approvazione esplicita dell’utente prima di iniziare, mentre l’accesso non presidiato deve essere configurato con il consenso preventivo del cliente. Tale approvazione è riportata direttamente nel record della sessione, invece di dover essere ricostruita in un secondo momento dai log degli eventi.
Poiché HelpWire supporta Windows, macOS e Linux sia per gli operatori sia per i clienti, la stessa cronologia delle sessioni è disponibile indipendentemente dai sistemi operativi coinvolti.
Domande frequenti
I log RDP in entrata sono suddivisi tra tre posizioni del Visualizzatore eventi: TerminalServices-LocalSessionManager per l’attività delle sessioni, TerminalServices-RemoteConnectionManager per le connessioni a livello di rete e il log Security per gli eventi di autenticazione. Controllarli tutti e tre è ciò che fornisce il quadro completo.
Apri TerminalServices-LocalSessionManager > Operational, filtra per ID evento 21 e ordina i risultati per data. Ogni evento include il nome utente, l’ID sessione e l’indirizzo di rete di origine. Puoi correlare tali eventi con le voci del registro di sicurezza per ulteriori dettagli di autenticazione.
L’ID evento 1149 viene registrato una volta che le credenziali di un client remoto sono state convalidate sulla rete. Se la connessione non raggiunge mai la macchina di destinazione, se le credenziali vengono rifiutate prima di quel punto oppure se il log TerminalServices-RemoteConnectionManager è disabilitato, l’evento non verrà visualizzato. Tieni presente che l’ID 1149 conferma la convalida delle credenziali, non il completamento dell’accesso a Windows.
Windows conserva i log RDP finché ogni registro eventi non raggiunge la dimensione massima configurata. Una volta raggiunto il limite, gli eventi più vecchi vengono sovrascritti a meno che non si modifichino le impostazioni di conservazione dei log. Aumentare la dimensione del log consente di preservare una cronologia più ampia, ma non rende i log permanenti.
