要确认Windows电脑是否被远程桌面连接过，需同时检查服务端Operational日志（事件ID 1149）获取成功连接的IP和用户，以及安全日志（事件ID 4624/4625）中登录类型10的认证记录，并通过注册表或mstsc下拉菜单查看本地RDP客户端历史连接目标。
要确认Windows电脑是否被远程桌面连接过、具体在什么时间、由谁发起，必须同时检查服务端日志（谁连了你）和客户端缓存（你连过谁），单看一边会漏掉关键线索。
查服务端RDP连接记录（谁远程连过你）
这一步显示所有成功建立的远程桌面会话，每条记录含源IP、登录账户、精确到秒的时间戳。
按 Win + R 输入 eventvwr.msc 回车启动事件查看器。
在左栏依次展开 → 应用程序和服务日志 → Microsoft → Windows → TerminalServices-RemoteConnectionManager → Operational。
右键“Operational”→ 选择“筛选当前日志”→ 在“事件ID”栏填 【1149】 → 点确定。
双击任一事件→ 切换到“详细信息”页签→ 拉到底部找 IpAddress 和 SubjectUserName 字段，可直接复制粘贴；注意：此日志只记录连接成功事件，不包含输错密码等失败尝试。
查系统级登录认证痕迹（是否真正完成身份验证）
仅看1149日志不够，因为有人可能连上但没通过认证。必须交叉验证安全日志中真实发生的登录行为。
打开事件查看器→ 左侧展开 Windows 日志 → 安全。
右键“安全”→ “筛选当前日志”→ 在“事件ID”栏输入 【4624,4625】（英文逗号分隔）→ 勾选“仅显示匹配事件”→ 确定。
在结果中逐条查看“登录类型”为 10 的条目——这就是远程交互式登录（含RDP、向日葵等），其中“源网络地址”字段即为真实发起IP，“帐户名”字段对应登录用户；若某IP出现在1149里却没出现在4624/4625中，说明连接未完成认证，只是试探性握手。
查本地RDP客户端历史（你主动连过哪些机器）
方法一：注册表直达法
按 Win + R 输入 regedit 回车→ 导航至：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Terminal Server Client\Default。
右侧所有以 MRU0、MRU1 开头的字符串值，其“数值数据”就是最近连接过的主机地址，直接显示IP或计算机名。
方法二：快速下拉菜单法
打开“远程桌面连接”程序（mstsc.exe）→ 点击“计算机”输入框旁的下拉箭头→ 列出的就是缓存的历史连接目标。
注意：此方法仅显示未清空缓存时的最近几次记录，且不保存端口、用户名等完整参数。
