Registro de LOG para Acesso Remoto (RDP)

Mlramos · 21 de maio de 2019

Olá!

Quero registrar o inicio do acesso remoto num arquivo .txt e posteriormente - quando da desconexão - registrar o fim do acesso remoto.
Então acredito que pelo Agendador de Tarefas seja possível na opção de disparador "Quando um evento específico for registrado".

Entretanto há muitas opções com "Microsoft-Windows-Remote xxx" e nenhuma delas é legível integralmente... qual usar ???
Iria simplesmente rodar um programa BAT para executar a gravação do LOG de registro:

echo Entrada (ou Saida) >>log.txt
date /t >>log.txt
time /t >>log.txt

Como proceder ?

ricardo_br · 21 de maio de 2019

Interessante. Acredito que o event de login com RDP seja 4799. Onde você quer criar o log na máquina cliente ou na máquina remota?

Mlramos · 21 de maio de 2019

7 minutos atrás, ricardo_br disse:

Interessante. Acredito que o event de login com RDP seja 4799. Onde você quer criar o log na máquina cliente ou na máquina remota?

@ricardo_br cliente ou remota para mim são a mesma coisa, então vou responder assim: meu PC é o MICRO e quem estou acessando é o SERV, então criaria o BAT no SERV (imagino), não ?
certo... event de login 4799, mas para qual evento ?

e como ficaria para o LOGOUT ??

ricardo_br · 21 de maio de 2019

Bem o computador cliente é o computador que vai acessar o computador Remoto (Servidor).

Logs do Windows - > Segurança

Mlramos · 21 de maio de 2019

1 minuto atrás, ricardo_br disse:

Bem o computador cliente é o computador que vai acessar o computador Remoto (Servidor).

Logs do Windows - > Segurança

@ricardo_br Entendi... mas - desculpe - ainda não entendi a resposta... rsrs (?)

ricardo_br · 21 de maio de 2019

Dentro do Visualizador de eventos são salvos em "Logs do Windows -> Segurança"

Mlramos · 21 de maio de 2019

13 minutos atrás, ricardo_br disse:

Dentro do Visualizador de eventos são salvos em "Logs do Windows -> Segurança"

@ricardo_br Show!!! Mas não sei o nome do evento, apenas o ID ...

ricardo_br · 21 de maio de 2019

Acho que é "Segurança"

Tenta assim:

Mlramos · 21 de maio de 2019

Funciona!!!

Pelo Agendador de Tarefas ao criar via "Tarefa Básica" ele não traz algumas opções... então a dica é criar "Tarefa" apenas.

Neste caso tudo é feito "manualmente" e o DISPARADOR deve ser alterado para "ao (DES)conectar de uma sessão de usuário" (remota).

Fiz duas tarefas, uma para LOGIN e outra LOGOFF

Ficou show!

Muito obrigado pela ajuda @ricardo_br

ricardo_br · 21 de maio de 2019

Legal vou continuar apadrinhando o tópico se precisar de mais ajuda.

adicionado 35 minutos depois

No caso você tem que criar a tarefa agendada e criar o batch no servidor (Computador remoto) já que lá que vai acontecer o logon e logoff remotos...

Mlramos · 22 de maio de 2019

17 horas atrás, ricardo_br disse:

Legal vou continuar apadrinhando o tópico se precisar de mais ajuda.

adicionado 35 minutos depois

No caso você tem que criar a tarefa agendada e criar o batch no servidor (Computador remoto) já que lá que vai acontecer o logon e logoff remotos...

@ricardo_br Isso mesmo! Mas... e agora? Se eu quiser saber o nome da máquina/login que acessou ?

Inclui no batch o "whoami", mas ele transfere para o log o nome do acesso "local" (o servidor/remoto)...

Como poderia identificar a "origem" ?

ricardo_br · 22 de maio de 2019

Não achei um modo certo para achar o nome do computador remoto. Alguns dizem que ele aparece na variável %clientname% mais aqui no meu computador nem tem essa variável pode ser que essa variável só tenha nas versões Windows Server e também ela não é muito confiável porque não é atualizada se o usuário se desconectar sem fazer fogoff e ai outro se conectar ela não é atualizada.

O modo gráfico seria: Gerenciador de Tarefas, ai na guia "Usuários" adicione a coluna "Nome do Cliente" que vai mostrar o nome do computador remoto mais acho que isso não adianta muito já que queremos fazer um script.

Se pegar o IP do computador remoto ajuda, seria algo assim:

netstat -an ^|findstr /i /r /c:"3389.*ESTABLISHED"

* 3389 é a porta padrão usada pela área de trabalho remota se você usa outra porta você troca pela porta que você usa

Em anexo tem um exemplo de pegar IP do computador remoto, se ele for executado e não tiver ninguem conectado ele mostra a mensagem não tem ninguem conectado senão ele mosta o IP.

Se o IP for de uma rede local você pode pegar o Nome do computador usando esse comando:

nbtstat -a [IP]

em [IP] você coloca o IP que você pegou com o comando que mostrei antes, mais isso não funciona para IPs da internet só de rede local.

ipRemoto.zip

Mlramos · 22 de maio de 2019

1 hora atrás, ricardo_br disse:

Não achei um modo certo para achar o nome do computador remoto. Alguns dizem que ele aparece na variável %clientname% mais aqui no meu computador nem tem essa variável pode ser que essa variável só tenha nas versões Windows Server e também ela não é muito confiável porque não é atualizada se o usuário se desconectar sem fazer fogoff e ai outro se conectar ela não é atualizada.

O modo gráfico seria: Gerenciador de Tarefas, ai na guia "Usuários" adicione a coluna "Nome do Cliente" que vai mostrar o nome do computador remoto mais acho que isso não adianta muito já que queremos fazer um script.

Se pegar o IP do computador remoto ajuda, seria algo assim:

netstat -an ^|findstr /i /r /c:"3389.*ESTABLISHED"

* 3389 é a porta padrão usada pela área de trabalho remota se você usa outra porta você troca pela porta que você usa

Em anexo tem um exemplo de pegar IP do computador remoto, se ele for executado e não tiver ninguem conectado ele mostra a mensagem não tem ninguem conectado senão ele mosta o IP.

Se o IP for de uma rede local você pode pegar o Nome do computador usando esse comando:

nbtstat -a [IP]

em [IP] você coloca o IP que você pegou com o comando que mostrei antes, mais isso não funciona para IPs da internet só de rede local.

ipRemoto.zip 350 B · 0 downloads

@ricardo_br Adaptei sua solução e melhorei para me atender, claro. Veja como ficaram os arquivos:

LOGIN.BAT

echo Entrada! >>c:\log.txt
netstat -a |find /i "]:3389" |find /i "ESTABLISHED" >>c:\log.txt
date /t >>c:\log.txt
time /t >>c:\log.txt
echo ========== >>c:\log.txt

exit

LOGOUT.BAT

echo Saida! >>c:\log.txt
date /t >>c:\log.txt
time /t >>c:\log.txt
echo ========== >>c:\log.txt

exit

Atendeu 100% desta forma! Show!

Muito obrigado novamente