Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. winevt
  5. Logs
  6. Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Operational.evtx
JournalRisque : Prudence

Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Operational.evtx C:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Operational.evtx

Journal RDP RemoteConnectionManager/Operational : événement 1149 (authentification réseau réussie, avant l'ouverture de session) et 261 (connexion reçue).

Mis à jour le Par AltF4 Formation

À quoi ça sert

Canal Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational. Il trace l’arrivée des connexions Bureau à distance sur l’écouteur RDP, avant la création de la session. C’est le journal à consulter pour voir qui a frappé à la porte, y compris quand la session n’a pas été ouverte ensuite.

Ce qu’il contient

  • 1149 : « User authentication succeeded », avec le nom d’utilisateur, le domaine et l’adresse IP source. Il est écrit dès que les identifiants sont acceptés au niveau réseau (NLA), donc avant que Windows autorise ou refuse l’ouverture de session.
  • 261 : l’écouteur RDP-Tcp a reçu une connexion.
  • Des événements d’écouteur et de configuration, selon la version.

Risques et bonnes pratiques

  • Un 1149 ne prouve pas qu’une session a été ouverte : il suffit que le mot de passe soit juste. Recoupez avec le 21 de LocalSessionManager et le 4624 de type 10 du journal Sécurité.
  • Sur un serveur exposé à Internet, une rafale de 1149 depuis des adresses inconnues signale de la force brute réussie ou des identifiants volés ; les échecs, eux, sont en 4625 dans le journal Sécurité.
  • Les adresses IP source de ce journal sont celles du client ou du mandataire (passerelle RD) qui a ouvert la connexion.

Commandes utiles

Fenêtre de terminal
# 1149 des 7 derniers jours : qui, d'où, quand
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational'; Id=1149; StartTime=(Get-Date).AddDays(-7)} |
    Select-Object TimeCreated, Message


# 50 derniers événements du canal
Get-WinEvent -LogName 'Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational' -MaxEvents 50

Format

Fichier binaire XML (.evtx). Le « / » du nom de canal devient « %4 » dans le nom du fichier.

Rotation et archivage

Taille maximale et comportement à saturation se règlent dans les propriétés du journal ou par stratégie de groupe ; wevtutil gl affiche la configuration et wevtutil epl exporte le journal.

Comment le lire

Observateur d’événements, « Journaux des applications et des services », « Microsoft », « Windows », « TerminalServices-RemoteConnectionManager », « Opérationnel ». Filtrez sur 1149, lisez l’utilisateur, le domaine et l’adresse dans le message, puis rapprochez l’heure des événements de session de LocalSessionManager.

Signaler une erreur