Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. winevt
  5. Logs
  6. Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx
JournalRisque : Prudence

Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx C:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx

Journal RDP LocalSessionManager/Operational : ouverture (21), fermeture (23), déconnexion (24) et reconnexion (25) de session, avec utilisateur et adresse.

Mis à jour le Par AltF4 Formation

À quoi ça sert

Canal Microsoft-Windows-TerminalServices-LocalSessionManager/Operational. Il suit la vie des sessions, côté serveur ou poste qui reçoit la connexion : qui s’est connecté, depuis quelle adresse, quand la session a été déconnectée puis rouverte. Utile aussi bien pour un serveur RDS que pour un poste Pro accessible en Bureau à distance (RDP).

Ce qu’il contient

  • 21 : ouverture de session réussie (utilisateur, ID de session, adresse source).
  • 22 : démarrage du shell.
  • 23 : fermeture de session (logoff).
  • 24 : session déconnectée, sans fermeture (la fenêtre RDP a été fermée).
  • 25 : reconnexion à une session existante.
  • L’adresse source vaut LOCAL pour une session de console.

Risques et bonnes pratiques

  • Il atteste d’une session ouverte, pas d’une tentative : les échecs d’authentification se lisent dans le journal Sécurité (4625), et l’authentification réseau réussie dans RemoteConnectionManager (1149).
  • Il contient noms d’utilisateurs et adresses IP : archivez-le avant de l’effacer sur un serveur exposé, en cas d’enquête.
  • Un 24 suivi d’un 25 est normal (coupure réseau puis reconnexion) ; une succession de 24 sans 25 correspond à des sessions qui restent ouvertes en arrière-plan.

Commandes utiles

Fenêtre de terminal
# 50 derniers événements du canal
Get-WinEvent -LogName 'Microsoft-Windows-TerminalServices-LocalSessionManager/Operational' -MaxEvents 50


# Connexions, déconnexions et reconnexions des 7 derniers jours
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-TerminalServices-LocalSessionManager/Operational'; Id=21,23,24,25; StartTime=(Get-Date).AddDays(-7)} |
    Select-Object TimeCreated, Id, Message


# Sessions actuellement ouvertes
quser

Format

Fichier binaire XML (.evtx). Le « / » du nom de canal devient « %4 » dans le nom du fichier.

Rotation et archivage

Taille maximale et comportement à saturation se règlent dans les propriétés du journal ou par stratégie de groupe ; wevtutil gl affiche la configuration et wevtutil epl exporte le journal.

Comment le lire

Observateur d’événements, « Journaux des applications et des services », « Microsoft », « Windows », « TerminalServices-LocalSessionManager », « Opérationnel ». Pour reconstituer une intrusion ou un incident, alignez les 21 et 25 de ce journal sur le 1149 de RemoteConnectionManager et sur les 4624 de type 10 du journal Sécurité.

Signaler une erreur