Terminalserver - RDP Zugriffe loggen

[michel0203 10]

Hallo zusammen,

Ich werde wohl ziemlich kurzfristig für ein nachvollziebares Logging sorgen müssen, um anhand von harten Logdaten darzustellen, wo nun genau die Problematik bei den Abbrüchen unseres TS (Server2000) liegt.

Würde euch diesbezüglich gerne fragen wie ich es am besten anstelle eben diese Abbrüche

in einen auch für nichtEDVer verständlichen Log zu bringen, der sagen wir mal eine Woche in Intervallen von 15min. den Status auf dem TS was RDP Zugriffe betrifft, loggt.

 

Gruß

Michel

[schizophrenchen 10]

Hallo Michel,

was du suchst, wird per Default in das Windows Security Event Log geschrieben!

 

Es gibt für Logon Events eine EventID (in der Welt vor Server 2008/Win7 war das die ID 528).

 

Wenn du im Event Viewer für Security Logs nach solchen Event IDs suchst kriegst du alle Anmeldungen am System.

Windows unterscheidet dann noch nach verschiedenen Anmeldearten (das wird im Feld "Type" beschrieben).

 

Hier wird z.B. nach unterschieden nach

- Remote Logon

- Local Logon

- Anmelden an Shares

- etc...

 

Der Anmelde Typ, mit dem du auch RDP Logons sehen müsstest, ist Typ 10!

 

Also:

- Anmelden am System

- Über die Verwaltungskonsole den Event Viewer öffnen

- Das Security Event Log auswählen

- Filter Funktion finden (je nach OS)

 

Achtung:

Windows 7 und Windows Server 2008 (ich glaube, Vista auch schon), nutzen andere Event IDs.

 

Die alte (z.B. Windows XP) Event ID + 4096 ergibt die neue.

 

Beispiel:

Windows Anmeldung an einem XP System erzeugt ein Security Event Log mit der ID 528

Windows Anmeldung an einem Win7 System erzeugt ein Security Event Log mit der ID 4624

 

Es gibt auch freie Tools, um Event Logs in Syslog umzusetzen (z.B. Snare) oder sie direkt auf dem System anzusehen. Auf einem zentralen Syslog Server, der alle Windows Logs via Snare/Syslog erhält, könntest du dir dann Auswertungsmechanismen bauen.

 

HTH,

Schizo

[Schaetzer 10]

Ich würde mir an Deiner Stelle überlegen, ob Windows 2000 noch auf dem aktuellen Stand der Zeit ist. Der Support ist ja bereits letzten Sommer ausgelaufen. Vielleicht hilft eine Aktualisierung auf Windows 2008 R2. Kannst du ja zuvor mal austesten.

 

Habt ihr ansonsten ein Bandlaufwerk laufen, welches beim Sicherungsbeginn die RDP Sitzungen killt?

[Sunny61 773]

was du suchst, wird per Default in das Windows Security Event Log geschrieben!

 

Der Thread ist aus dem Jahr 2006, vermutlich benötigt der OP keine Hilfe mehr. ;)

[Schaetzer 10]

Der Thread ist aus dem Jahr 2006, vermutlich benötigt der OP keine Hilfe mehr. ;)

 

Oups ;)

[schizophrenchen 10]

Aber denen, die mit demselben Problem kämpfen kann die Suche jetzt meine Antwort liefern

 

;-)

 

Hoffen wir, dass der user win2k inzwischen migriert hat...