아침에 관리하는 시스템을 확인해보니 밤사이 누군가 내서버에 RDP 접속하여 엉망으로 만들어 놓았습니다.
보안 로그를 확인하는 것도 방법 이겠지만,,, 감사로그가 워낙 많아서 눈이 빠질 지경이네요~
이럴때 쉽게 누가 언제 어떤 세션을 이용하여 접속하였는지 확인할수 있는 방법 입니다.
eventvwr.msc 실행 → 응용 프로그램 및 서비스 로그 → Microsoft → Windows → TerminalServices-LocalSessionManager → Operational 선택
이렇게 확인 가능하네요~~
RDP접속 이력은 위 그림의 원본 네트워크 주소 부분에 Client IP가 표시 됩니다.
좋은 주말들 되세요~^^