remote desktop日志需分服务端与客户端双端核查：服务端查事件id 1149（terminalservices-remoteconnectionmanager）获成功连接记录，查安全日志id 4624/4625（登录类型10）确认实际登录；客户端通过注册表mru值或mstsc下拉菜单查看历史目标。
远程桌面（RDP）访问日志查看，核心是分清“谁连过你”（服务端）和“你连过谁”（客户端），再交叉验证是否真正完成登录。不查全两端，容易遗漏关键行为。
查服务端：谁通过RDP连过你的电脑
这是最常需要的场景——确认是否有异常远程接入。关键看两个日志位置：
- TerminalServices-RemoteConnectionManager → Operational 日志（事件ID 1149）：只记录RDP监听器成功接受连接的瞬间，含源IP、目标账户、精确时间。路径：事件查看器 → 应用程序和服务日志 → Microsoft → Windows → TerminalServices-RemoteConnectionManager → Operational → 右键筛选，填入1149。
- Windows 日志 → 安全日志（事件ID 4624 + 4625）：判断是否真登录成功或失败。“登录类型 10”即为RDP交互式登录，字段“源网络地址”才是真实发起IP，“帐户名”对应登录用户。筛选时输入4624,4625（英文逗号分隔）。
查客户端：你用mstsc连过哪些主机
如果你是主动发起远程连接的一方，想找回曾连过的服务器地址，有两个快捷方式：
宝塔Linux面板11.3.0
下载
宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
- 注册表直达法：按 Win+R 输入 regedit → 导航至 HKEY_CURRENT_USER\SOFTWARE\Microsoft\Terminal Server Client\Default → 右侧所有以 MRU0、MRU1… 开头的字符串值，数据内容就是最近连接的IP或计算机名。
- mstsc下拉菜单法：直接打开“远程桌面连接”（mstsc.exe）→ 点击“计算机”输入框旁的小箭头 → 列出的就是缓存的最近目标。注意：不保存端口、用户名，且清空后即消失。
交叉验证：连接 ≠ 登录，必须确认身份认证结果
有人可能连上RDP端口但输错密码，这种行为在1149日志里不会出现，却会在安全日志中留下4625记录；反之，若看到1149但没对应4624（登录类型10），说明连接建立后未完成认证就断开了。所以建议：
- 把1149日志的时间戳与4624/4625中“登录类型10”的时间做比对；
- 双击4624事件 → “详细信息”页 → 查看XML中IpAddress和TargetUserName字段，可复制使用；
- 若需导出分析，可用PowerShell命令：Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624} | Where-Object {$_.Properties[8].Value -eq 10}（筛选出所有RDP登录成功事件）。
补充提醒：日志不是默认全开，有些需提前配置
部分环境（如精简版系统或组策略限制）可能未启用完整RDP日志。若查不到预期记录，检查以下几点：
- 确保“Windows防火墙”允许3389端口入站（否则连接根本到不了系统）；
- 确认组策略“计算机配置 → 管理模板 → Windows组件 → 远程桌面服务 → 远程桌面会话主机 → 安全”中，“审计连接”已启用；
- 安全日志容量不足时会被自动覆盖，右键“安全”日志 → 属性 → 可调大“最大日志大小”。
