WindowsでRDP接続ログを確認する方法

イベント ID 1149 は、ほとんどの RDP イベントよりも多くの混乱を招きます。部分的には、そのラベル: “User authentication succeeded.” のためです。

現在の Windows のバージョンでは、クライアントの資格情報がネットワーク経由で検証されると、完全な対話型サインインやセッションの作成が行われる前に、このイベントが発生します。これは Windows 7 および Server 2012 以前のバージョンでの従来の動作とは異なり、当時は資格情報が有効かどうかに関わらず、あらゆる接続試行に対して 1149 が記録されることがありました。

したがって 1149 は資格情報の検証が通ったことを意味しますが、ユーザーが最終的に正常に機能するセッションを得られたことを意味するわけではありません。セッション制限、RDP の権限制限、またはライセンスの問題によって、その後のログオンが依然としてブロックされる可能性があります。実際に誰かが入れたことを確認するには、セキュリティ ログのイベント ID 4624、または LocalSessionManager ログのイベント ID 21 と相関させて確認してください。

セッションのログオン、切断、再接続、ログオフが記録されるため、これは通常、最初に確認すべきログです。

次の場所に移動:

Applications and Services Logs > Microsoft > Windows > TerminalServices-LocalSessionManager

Operational を選択します。Filter Current Log をクリックします。次の Event ID を入力します:

21,23,24,25,39,40

OK をクリックします。

各レコードには、ユーザー名、セッション ID、タイムスタンプ、Source Network Address が含まれます。

Source Network Address にリモート IP アドレスが含まれている場合は、Windows は受信 RDP セッションを記録しています。LOCAL と表示されている場合、そのイベントはリモート デスクトップではなくローカル コンソール ログオンを表します。

たとえば、管理者が営業時間外に誰かが Windows Server にアクセスしたと疑う場合、Event ID 21 でフィルターすると、各成功した RDP セッションがそのタイムスタンプと送信元アドレスとともに表示されます。

Windows イベント ビューアーは、この種の事後的なレビューのために作られていません。これは監査とトラブルシューティングのためのツールなので、1つの RDP セッションを再構成するには、通常、2～3種類の別々のログからデータを取り出し、タイムスタンプを手作業で突き合わせる必要があります。

HelpWireはこれを異なる方法で処理します：各リモートサポートセッション（有人・無人を問わず）は、単一の時系列の記録としてログされます：接続イベント、セッションの詳細、チャット履歴がひとまとめになっており、セッション終了後に相互参照は不要です。

HelpWireは、TLSによるトランスポートとAES-256のセッション暗号化を用いてリモートセッションを保護します。オンデマンドのセッションは開始前に明示的なユーザー承認が必要で、無人アクセスは事前にクライアントの同意を得て設定しなければなりません。その承認はセッション記録に直接反映され、後でイベントログから再構成する必要はありません。

HelpWireは、オペレーターとクライアントの双方でWindows、macOS、Linuxをサポートしているため、関与するオペレーティングシステムに関わらず、同じセッション履歴を利用できます。