怎么审计windows远程桌面访问记录

windows的远程管理，我们一般开远程桌面，打开3389端口。需要维护的时候，通过“远程桌面连接”终端，输入目标的IP地址，再输入帐户，密码，就可以进行远程管理了。但有时候，公司不只一个运维人员，又加上信息安全要求，需要对服务器的远程控制行为进行审计，这里提供一个方法，来审计windows的远程桌面访问。

我们打开服务器里“管理工具”中的“事件查看器”。

双击打开“应用程序和服务日志”，再点“Microsoft”，再点“Windows”，再点“TerminalServices-RemoteConnectionManager”，再点”Operational”。

在右边窗口中，可以看到若干事件，在最右边，我们选择”筛选当前日志…”,输入特别的事件号，1149，系统会过滤出所有1149事件，随意双击一条，就可以看到哪个终端在什么时候，用什么帐户连接了远程桌面。

注意：Server版的才可以看到所有日志的，如果是桌面级的，只能看当天的。