RDP giriş logları: Windows sunucuya kim, ne zaman bağlandı?

Windows, her Uzak Masaüstü girişini Güvenlik loguna yazar. Başarılı RDP girişleri Logon Type 10 olan 4624 olaylarıdır, başarısız denemeler 4625 olaylarıdır. Bu kayıtlar Olay Görüntüleyicisi'nden veya aşağıdaki PowerShell komutlarıyla bulunur.

RDP için önemli olay kimlikleri

• 4624, başarılı oturum açma: Logon Type 10 ise oturum Uzak Masaüstü ile açılmıştır. Kullanıcı adı ve kaynak IP adresi bu kayıtta yer alır.
• 4625, başarısız oturum açma: Yanlış şifre veya kilitli hesap denemeleri. Kısa sürede çok sayıda 4625, kaba kuvvet saldırısına işaret eder.
• 4778 ve 4779: Bir oturumun yeniden bağlanması ve bağlantısının kesilmesi.
• 4634 ve 4647: Oturumun kapanması.

Olay Görüntüleyicisi'nden adım adım

1. Olay Görüntüleyicisi'ni (eventvwr.msc) açın.
2. Windows Günlükleri > Güvenlik bölümüne gidin.
3. Sağdaki "Geçerli Günlüğü Filtrele" ile olay kimliği alanına 4624 yazın.
4. Kayıtları açıp Logon Type değeri 10 olanlara bakın; Kaynak Ağ Adresi bağlantının nereden geldiğini gösterir.

PowerShell ile hızlı arama

Son 50 başarılı RDP girişi:

Get-WinEvent -LogName Security -MaxEvents 50 -FilterXPath "*[System[EventID=4624] and EventData[Data[@Name='LogonType']='10']]" |
  Select-Object TimeCreated, @{n='Kullanici';e={$_.Properties[5].Value}}, @{n='KaynakIP';e={$_.Properties[18].Value}}

Son 50 başarısız oturum açma denemesi:

Get-WinEvent -LogName Security -MaxEvents 50 -FilterXPath "*[System[EventID=4625]]" |
  Select-Object TimeCreated, @{n='Kullanici';e={$_.Properties[5].Value}}, @{n='KaynakIP';e={$_.Properties[19].Value}}

Komutları yönetici olarak açılmış PowerShell'de çalıştırın.

Logların söylemediği

• Kimin izin verdiğini göstermez. Loglar kimin girdiğini söyler, bu girişe kimin onay verdiğini söylemez. Denetçinin en sık sorduğu soru budur.
• Sonradan bakılır. Şüpheli bir giriş, ancak biri loglara baktığında fark edilir.
• Kalıcı değildir. Güvenlik logu dolduğunda eski kayıtların üzerine yazılır.
• Sunucu sunucu dağınıktır. Her sunucunun logu kendi üzerindedir; on sunucu, on ayrı yer demektir.

AdeGate ile RDP girişleri

• Her RDP girişi oturum açılmadan önce yöneticinin onayına gider. Talep, onay ve ret kimin yaptığıyla birlikte kaydedilir.
• Tüm sunucuların giriş kayıtları tek panelde toplanır; kullanıcıya, sunucuya ve tarihe göre süzülebilir.
• Erişim gözden geçirme raporu, uzun süredir kullanılmayan hesapları işaretler ve incelemeyi kimin onayladığını kaydeder.
• Pro ve Enterprise planlarında kayıtlar syslog ile merkezi log sunucunuza iletilir.

Ayrıntılar: RDP bağlantı onay sistemi ve ISO 27001 RDP ve SSH log gereksinimleri.

Sık sorulanlar