リモートデスクトップ接続元コンピュータのIP確認方法

Others,Windows

リモートデスクトップ接続元コンピュータのIPアドレスの確認方法について紹介しています。

現在接続しているアクティブな接続、過去に接続していたコンピュータのIPアドレスをイベントログから確認する手順について紹介しています。
イベントログをログオンのみに限定したり、ログオンに失敗した接続元のIPアドレスを特定する方法も紹介しています。

※Windows Server 2022 Datacenter Azure Editionを利用して確認しています。
※Azure上の仮想マシン(ホスト名:test-vm-01)を利用しています。

スポンサーリンク

現在リモートデスクトップ接続しているコンピュータのIPアドレスを調べる

netstatコマンドを利用して確認

netstaコマンドを使うとアクティブなリモートデスクトップ接続を確認できます。
findコマンドを使うとテキスト検索(今回の場合はコマンドの実行結果を検索)できます。

netstat
find

この2つコマンドを組み合わせてリモートデスクトップ(3389)番ポート接続状況を表示します。
コマンドプロンプトで実行します。
下線の部分に接続元のIPアドレスが表示されます。

c:\> netstat -n | find “3389"
TCP 10.0.1.4:3389 20.XXX.XXX.XXX:53065 ESTABLISHED

※10.0.1.4は受信側の仮想マシンのIPアドレスです。

タスクマネージャーから確認

タスクマネージャーでも接続元コンピュータのクライアント名が確認できます。
タスクマネージャーを詳細表示にします。

クライアント名を確認
タスクマネージャーのユーザータブを選択します。
セッションとクライアント名を選択します。		 Windows Serverのタスクマネージャー画面
現在リモートデスクトップ接続しているユーザー名と接続元のコンピュータ名を確認できます。 Windows Serverのタスクマネージャー画面

—広告—

イベントログから過去リモートデスクトップ接続していたコンピュータのIPアドレスを確認

イベントログにはリモートデスクトップ接続されたログが記録されています。

TerminalServices-LocalSessionManagerで確認

イベントログビューアーで確認できます。
TerminalServices-LocalSessionManagerのログに記録されています。

    • アプリケーションとサービスログ
      • Microsoft
        • Windows
          • TerminalServices-LocalSessionManager
            • Operational

Microsoft-Windows-TerminalServices-LocalSessionManager

TerminalServices-LocalSessionManagerを確認
スタートメニューからイベントビューアーを選択します。 Windows Serverのメニュー

イベントビューアーで以下の場所を選択します。

アプリケーションとサービスログ＞Microsoft＞Windows＞TerminalServices-LocalSessionManager＞Operational

 

 Windows Serverのイベントビューアー

リモートデスクトップ接続のログオン結果がログに記録されています。
ソースネットワークアドレスに接続元のIPアドレスが表示されます。Windows Serverのイベントビューアー

※セッション切断のログなども含まれます。
※サービスのログオンも含まれます。
※リモートデスクトップログオン成功のイベントIDは21です。必要に応じてイベントIDでログを絞り込みます。

セキュリティログから確認

セキュリティログにはセキュリティ関連のイベントが記録されます。

Windows Server のイベント ログについて説明する

ログオンなどのイベントもセキュリティログに記録されます。
セキュリティログにはログオン以外の多くのイベントが含まれます。
イベントIDで絞り込みします。

4624(S): アカウントが正常にログオンしました

現在のログをフィルターを利用して検索します。

セキュリティログから確認
Windowsログのセキュリティを選択します。
現在のログをフィルターを選択します。		 Windows Serverのイベントビューアー
イベントID4624をフィルター条件に追加します。 イベントビューアーのログフィルター

ログオンに関するイベントログが表示されます。
ネットワーク情報のソースネットワークアドレスで接続元のIPアドレスを確認できます。

イベントビューアーのセキュリティログ

セキュリティログをリモートデスクトップのログオンのみに限定

セキュリティログのログオンイベントにはリモートデスクトップ以外も含まれます。
ログオンタイプの項目にログオンの種類の番号が付与されています。

管理ツールとログオンの種類
ログオンの種類と説明

リモートデスクトップ接続の場合はログオンタイプが10となります。
ログのフィルター条件にログオンタイプを追加します。

ログオンタイプの項目を下記サイトのイベントXMLで確認し検索条件として指定します。

4624(S): アカウントが正常にログオンしました

ログオンタイプは<EventData><Data Name="LogonType">ログオンタイプ</Data></EventData&gt;として含まれている事が確認できます。

フィルター設定
ログのフィルターでXMLのタブを選択します。
“手動でクエリを編集する"にチェックを入れます。		 イベントログのログフィルター
確認メッセージが表示されるので"はい"を選択します。 イベントログのログフィルター
ログオンタイプのand条件を追加します。 イベントログのログフィルター

<QueryList>
　<Query Id="0″ Path="Security">
　　<Select Path="Security">*[System[EventID=4624]] and *[EventData[Data[@Name=’LogonType’]=’10’]]</Select>
　</Query>
</QueryList>
フィルター設定を使ってイベントID4624かつログオンタイプ10のセキュリティログを絞り込めました。

カスタムビューの作成

毎回フィルター設定するのも手間です。
カスタムビューを利用すると保存したフィルター条件を利用してイベントログを表示できます。

カスタムビューの作成
イベントビューアーで"カスタムビューの作成"を選択します。 イベントログのログフィルター(カスタムビュー)
カスタムビューの作成でXMLのタブを選択します。
“手動でクエリを編集する"のチェックを入れます。		 イベントログのログフィルター(カスタムビュー)
先ほどフィルター検索で利用した条件をそのまま利用します。
OKを選択すると保存メッセージが表示されます。
名前を付けて保存します。		 イベントログのログフィルター(カスタムビュー)
イベントログのログフィルター(カスタムビュー)

作成したカスタムビューを選択します。
設定した検索条件でフィルターされたイベントログが表示できます。

イベントログのログフィルター(カスタムビュー)

ログオン失敗の場合

ログオン失敗の場合も同様に確認できます。
ログオン失敗はイベントIDが4625になります。

4625(F): アカウントがログオンに失敗しました

ログオン失敗
Windowsログのセキュリティを選択します。
現在のログをフィルターを選択します。		 イベントログのログフィルター
イベントID4625をフィルター条件に追加します。 イベントログのログフィルター(カスタムビュー)

ログオン失敗のセキュリティログに絞り込まれています。
接続元コンピュータのIPアドレスはネットワーク情報のソースネットワークアドレスで確認できます。

イベントログのログ画面

イベントログをLog Analyticsで収集

Windows ServerのイベントログをLog Analytics取り込むとKQLを使った検索ができます。
設定手順についてはこちらにまとめています。

イベントログをAzure Monitorで監視

Windows ServerのイベントログをLog Analyticsワークスペースに収集する事でAzure Monitorの監視設定利用できます。
手順についてはこちらにまとめています。

最後に

Windows Serverにリモートデスクトップ(リモートデスクトップ)接続した際の、接続元コンピュータのIPアドレスを確認する方法について確認してみました。
アクティブの接続はコマンドで確認、接続履歴についてはイベントログから確認できる事が分かりました。
イベントログを絞り込む事でログオン失敗の場合のみに絞り込み確認できる事も分かりました。
不正なアクセスの検知にも役立ちそうです。

引き続き色々試してみたいと思います。

スポンサーリンク

Others,Windows