如何loginterminal服务会话

他们已经（或应该）login到安全日志。

事件ID 528和540表示用户login，types10表示terminal服务器/远程桌面会话 。

事件551表示注销，而事件4779表示断开，而不是正确的注销。

（所有安全日志事件。）

parsing这些事件的事件日志可以坦率地说是一个痛苦的屁股，但至less在2008年，改进的日志查看器使事件日志过滤变得更容易，只显示你想要的事件。 仍然（并且假设您有2003服务器），可能值得您花费一些时间来打破Powershell脚本来为您parsing这些值…或支付质量日志分析/聚合软件。

下面是你在2003年看到的日志对话框的一个例子，虽然你可能想parsing和提取相关的信息到文本格式的地方（这是相对容易的PowerShell）。