Có nhiều lúc chúng ta muốn thống kê các sự kiện đăng nhập sai, đúng. Hay đơn giản chỉ muốn kiểm tra các máy tính Remote Desktop vào máy chủ, lúc này chúng ta cần sử dụng đến công cụ Event Viewer của Windows.
Các Sự kiện trên Linux được ghi lại vào File log, còn đối với windows sẽ được ghi vào Event Viewer theo các Name cụ thể ứng với từng loại log. Trong bài viết này chúng ta sẽ cùng tìm hiểu chi tiết về Event Viewer và cách sử dụng trong từng trường hợp
Các Sự kiện trên Linux được ghi lại vào File log, còn đối với windows sẽ được ghi vào Event View theo các Name cụ thể ứng với từng log.
Các trường hợp khi Remote Desktop tới máy chủ Windows có thể sảy ra như sau:
- Khi Remote Desktop đúng User đúng Password
- Khi Remote Đúng User sai Password
- Khi Remote sai User
- Remote sai User hoặc Password
Để xem được các bản ghi về Remote Desktop trên Windows thì ta cần sử dụng công cụ Event View của Windows
Để mở Event viewer ta làm như sau:
Bấm tổ hợp phím Windows+R sau đó nhập eventvwr
TH1: Remote Desktop đúng User đúng Password (đăng nhập thành công)
Để xem IP đã Remote Desktop ta xem Event ID: 4648
Để xem các thông tin liên quan khác xem Event ID: 4624
Để kiểm tra IP đã Remote Desktop tới máy Chủ Windows Server ta làm như sau:
Trong Event Viewer chọn Windows Logs -> Nhấn chọn Security ở cửa sổ bên trái
Ở cửa sổ bên phải -> Nhấn chuột chọn trường Filter Current Log.
Trong hộp thoại tiếp theo, nhập dòng 4648 vào hộp văn bản bên dưới “Includes/Excludes Event IDs…”
Nhấn OK để lọc nhật ký sự kiện ( Event log )
Bây giờ, Trình xem sự kiện (Event Viewer ) sẽ chỉ hiển thị các sự kiện có Event ID 4648
Click đúp chuột 2 lần vào Event ID muốn xem để xem chi tiết về Event ID đó, kéo phần mô tả xuống một chút sẽ thấy phần như sau:
Network Information:
Network Address: x.x.x.x
Port: 0
Trong đó Network Address là địa chỉ IP của máy tính thực hiện Remote Destop tới máy chủ Windows Server
Để kiểm tra thêm các thông tin khác ta làm như sau:
Trong Event Viewer chọn Windows Logs -> Nhấn chọn Security ở cửa sổ bên trái
Ở cửa sổ bên phải -> Nhấn chuột chọn trường Filter Current Log.
Trong hộp thoại tiếp theo, nhập dòng 4624 vào hộp văn bản bên dưới “Includes/Excludes Event IDs…”
Nhấn OK để lọc nhật ký sự kiện ( Event log )
Bây giờ, Trình xem sự kiện (Event Viewer ) sẽ chỉ hiển thị các sự kiện liên quan đến Remote Desktop đúng
tại đây ta có thể thấy được những thông tin sau:
- Event ID: 4624
- Log Name: Security
- phần bản tin: An account was successfully logged on.
- logged: 12/24/2019 4:35:34 PM
- level: Infomation
- Computer: Tên máy tính được đăng nhập
Trong đó:
- Event ID: là ID sự kiện
- Log Name: Tên bản tin log
- phần bản tin: là bản tin log
- logged: thời gian xuất hiện sự kiện
- level: mức độ cảnh báo
- Computer: Tên máy tính được đăng nhập
Trên đây là cách tìm nhật ký Remote đúng trong Windows, chúng ta sẽ sang phần tiếp theo, Remote Sai Password
TH 2: Remote Desktop sai User hoặc Password (hoặc sai cả hai)
Để xem IP đã Remote Desktop thất bại ta xem Event ID: 140
Để xem các thông tin liên quan khác xem Event ID: 4625
Để kiểm tra IP đã Remote Desktop thất bại tới máy Chủ Windows Server ta làm như sau:
Trong Event Viewer chọn Applications and Services Logs > Microsoft > Windows > RemoteDesktopServices-RdpCoreTS > Operational ở cửa sổ bên trái
Ở cửa sổ bên phải -> Nhấn chuột chọn trường Filter Current Log.
Trong hộp thoại tiếp theo, nhập dòng 140 vào hộp văn bản bên dưới “Includes/Excludes Event IDs…”
Nhấn OK để lọc nhật ký sự kiện ( Event log )
Bây giờ, Trình xem sự kiện (Event Viewer ) sẽ chỉ hiển thị các sự kiện liên quan đến Remote Desktop thất bại.
tại đây ta có thể thấy được những thông tin sau:
- Event ID: 140
- Log Name: Microsoft-Windows-RemoteDesktopServices-RdpCoreTS/Operational
- phần bản tin: A connection from the client computer with an IP address of 192.168.182.1 failed because the user name or password is not correct.
- logged: 12/24/2019 5:02:36 PM
- level: Warning
- Computer: Tên máy tính được đăng nhập
Trong đó:
- Event ID: là ID sự kiện
- Log Name: Tên bản tin log
- phần bản tin: Có một kết nối từ IP x kết nối tới nhưng nhập sai User hoặc mật khẩu
- logged: thời gian xuất hiện sự kiện
- level: mức độ cảnh báo
- Computer: Tên máy tính được đăng nhập
Lưu ý: trên phần bản tin Log có ghi lại IP đã thực hiện Remote Desktop thất bại vào máy chủ, từ đây có thể trích xuất thông tin để xử lý, phần khoanh đỏ là phần IP Remote thất bại
Trên đây là cách tìm nhật ký Remote thất bại trong Windows, Remote Sai User hoặc password và cách tìm địa chỉ ip đã đăng nhập sai để tiến hành các biện pháp xử lý.
Để tìm tên User được nhập lúc Remote Desktop thất bại tới máy Chủ Windows Server ta làm như sau:
Trong Event Viewer chọn Windows Logs -> Nhấn chọn Security ở cửa sổ bên trái
Ở cửa sổ bên phải -> Nhấn chuột chọn trường Filter Current Log.
Trong hộp thoại tiếp theo, nhập dòng 4625 vào hộp văn bản bên dưới “Includes/Excludes Event IDs…”
Nhấn OK để lọc nhật ký sự kiện ( Event log )
Bây giờ, Trình xem sự kiện (Event Viewer ) sẽ chỉ hiển thị các sự kiện liên quan đến Remote Desktop thất bại.
Click chuột 2 lần vào EventID 4625
Sẽ thấy một cửa sổ hiện lên, trong phần mô tả có trường Account Name là tên User bị Remote tới
tại đây ta có thể thấy được những thông tin sau:
- Event ID: 4625
- Log Name: Security
- Account Name: sdsdsdsds
- phần bản tin: An account failed to log on.
- logged: 12/24/2019 4:54:50 PM
- level: Infomation
- Computer: Tên máy tính được đăng nhập
Trong đó:
- Event ID: là ID sự kiện
- Log Name: Tên bản tin log
- Account Name: Tên user
- phần bản tin: là bản tin log
- logged: thời gian xuất hiện sự kiện
- level: mức độ cảnh báo
- Computer: Tên máy tính được đăng nhập
Chú ý: Có thêm phần Account Name
