18
Herausfinden, wann eine RDP Session gecancelt wurde
Hallo,
Systeminformationen:
aktuell Windows Server 2008 R2 x64
gilt alle Windows Serever Betriebssysteme...
manche Admins, trennen die RDP-Session, statt sich vom Server abzumelden. sic
Jetzt gilt es herauszufinden, wann eine / diese Session gecancelt wurde und von wem?
Frage: Wo wird das geloggt? Nach welchen Kriterien muss ich in der Ereignisanzeige suchen?
Hintergrund ist, das ab sofort solche Leichen RDP Sessions OHNE Gnade gecancelt werden, wenn KEINE Information vorliegt,
Danke für Eure Hilfe.
Gruss Penny.
Systeminformationen:
aktuell Windows Server 2008 R2 x64
gilt alle Windows Serever Betriebssysteme...
manche Admins, trennen die RDP-Session, statt sich vom Server abzumelden. sic
Jetzt gilt es herauszufinden, wann eine / diese Session gecancelt wurde und von wem?
Frage: Wo wird das geloggt? Nach welchen Kriterien muss ich in der Ereignisanzeige suchen?
Hintergrund ist, das ab sofort solche Leichen RDP Sessions OHNE Gnade gecancelt werden, wenn KEINE Information vorliegt,
Danke für Eure Hilfe.
Gruss Penny.
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 489772
Url: https://administrator.de/contentid/489772
Printed on: April 23, 2024 at 12:04 o'clock
18 Comments
Latest comment
Zitat von @Penny.Cilin:
manche Admins, trennen die RDP-Session, statt sich vom Server abzumelden. sic
Jetzt gilt es herauszufinden, wann eine / diese Session gecancelt wurde und von wem?
Frage: Wo wird das geloggt? Nach welchen Kriterien muss ich in der Ereignisanzeige suchen?
manche Admins, trennen die RDP-Session, statt sich vom Server abzumelden. sic
Jetzt gilt es herauszufinden, wann eine / diese Session gecancelt wurde und von wem?
Frage: Wo wird das geloggt? Nach welchen Kriterien muss ich in der Ereignisanzeige suchen?
Ihr habt nicht verschiedene Admin-Accounts für die verschiedenen (Admin-)Benutzer, sondern eines für alle? Nimm Dir ein Cat9 und wende es auf Dich selbst an.
lks
Hi.
Erstelle einen geplanten Task, der als Trigger die Trennung wie abgebildet nimmt, als ausführendes Konto "System" nimmt und dann als Aktion eine Batch laufen lässt:
qwinsta>>c:\Logpfad\log.txt
Erstelle einen geplanten Task, der als Trigger die Trennung wie abgebildet nimmt, als ausführendes Konto "System" nimmt und dann als Aktion eine Batch laufen lässt:
qwinsta>>c:\Logpfad\log.txt
Zitat von @Lochkartenstanzer:
Ihr habt nicht verschiedene Admin-Accounts für die verschiedenen (Admin-)Benutzer, sondern eines für alle? Nimm Dir ein Cat9 und wende es auf Dich selbst an.
@LochkartenstanzerZitat von @Penny.Cilin:
manche Admins, trennen die RDP-Session, statt sich vom Server abzumelden. sic
Jetzt gilt es herauszufinden, wann eine / diese Session gecancelt wurde und von wem?
Frage: Wo wird das geloggt? Nach welchen Kriterien muss ich in der Ereignisanzeige suchen?
manche Admins, trennen die RDP-Session, statt sich vom Server abzumelden. sic
Jetzt gilt es herauszufinden, wann eine / diese Session gecancelt wurde und von wem?
Frage: Wo wird das geloggt? Nach welchen Kriterien muss ich in der Ereignisanzeige suchen?
Ihr habt nicht verschiedene Admin-Accounts für die verschiedenen (Admin-)Benutzer, sondern eines für alle? Nimm Dir ein Cat9 und wende es auf Dich selbst an.
Ich habe Ironietags schon verstanden. Wir haben verschiedene Administratoren. Und jeder hat seinen Admin-Account. Leider Gottes sind diese Wunderkinder immer zu blöd und trennen die Sessions, statt sich abzumelden. Genauso, wie Installationsmüll hinterlassen wird.
Ich prüfe ab sofort, ob eine getrennte RDP Session auf Server existieren und cancele diese, OHNE Rücksicht auf Datenverlust und Menschenleben.
Wenn nicht eine begründete Information vorliegt, daß in dieser Session evtl. etwas läuft (Migration, Kopiervorgang, usw.).
Mich kotzt diese shice an, weil
1. Unnötig eine RDP Session blockiert wird
2. dies dein Sicherheitsrisiko und möglicherweise ein Verstoß gegen den Datenschutz ist
Ich kläre dies morgen mit unserem Datenschutzbeauftragten ab.
Vom Management ist dies bereits abgesegnet.
Mit meiner Frage geht es nur darum, wie ich herausfinden kann, wann ich welche Benutzer bereits damit gecancelt habe.
lks
Zitat von @DerWoWusste:
Hi.
Erstelle einen geplanten Task, der als Trigger die Trennung wie abgebildet nimmt, als ausführendes Konto "System" nimmt und dann als Aktion eine Batch laufen lässt:
qwinsta>>c:\Logpfad\log.txt
@dwwHi.
Erstelle einen geplanten Task, der als Trigger die Trennung wie abgebildet nimmt, als ausführendes Konto "System" nimmt und dann als Aktion eine Batch laufen lässt:
qwinsta>>c:\Logpfad\log.txt
Danke für den Tipp. Allerdings nützt mir das jetzt nichts, denn was VOR der Einrichtung deines Scheduled Task gecancelt wurde, das suche ich.
Mal schauen, was noch an Antworten kommen.
Gruss Penny.
Moin,
das Problem kommt mir ja sowas von bekannt vor.
Guck mal hier:
http://woshub.com/rdp-connection-logs-forensics-windows/
Liebe Grüße
Erik
das Problem kommt mir ja sowas von bekannt vor.
Guck mal hier:http://woshub.com/rdp-connection-logs-forensics-windows/
Liebe Grüße
Erik
Verstehe ich nicht. Der Taskmanager zeigt doch schon an, welche Sitzungen disconnected sind und bietet eine Trennung an.
Zitat von @Penny.Cilin:
Mich kotzt diese shice an, weil
1. Unnötig eine RDP Session blockiert wird
2. dies dein Sicherheitsrisiko und möglicherweise ein Verstoß gegen den Datenschutz ist
Mich kotzt diese shice an, weil
1. Unnötig eine RDP Session blockiert wird
2. dies dein Sicherheitsrisiko und möglicherweise ein Verstoß gegen den Datenschutz ist
Dann nimm das Cat9 für die Mit-Admins.
Den Trigger dazu hat Dir ja schon DWW verraten.
lks
Zitat von @DerWoWusste:
Verstehe ich nicht. Der Taskmanager zeigt doch schon an, welche Sitzungen disconnected sind und bietet eine Trennung an.
Verstehe ich nicht. Der Taskmanager zeigt doch schon an, welche Sitzungen disconnected sind und bietet eine Trennung an.
Aber wenn zwei "Admins" die Leitungen schon "besetzen" kommt er nicht mehr drauf um in den Taskmanager zu schauen.
lks
Zitat von @DerWoWusste:
Verstehe ich nicht. Der Taskmanager zeigt doch schon an, welche Sitzungen disconnected sind und bietet eine Trennung an.
Ok, dann folgendes Fallbeispíel:Verstehe ich nicht. Der Taskmanager zeigt doch schon an, welche Sitzungen disconnected sind und bietet eine Trennung an.
Ich habe vor zwei Tagen auf ServerA eine RDP Session via Task Manager gecancelt. Jetzt will ich in einem Log sehen
a) wenn ich gecancelt habe
b) wann ich diese gecancelt habe
Deine Lösung habe ich auf diesem bis jetzt nicht implementiert.
Vielleciht ist es jetzt verständlicher?
Gruss Penny.
Zitat von @Penny.Cilin:
Ich habe vor zwei Tagen auf ServerA eine RDP Session via Task Manager gecancelt. Jetzt will ich in einem Log sehen
a) wenn ich gecancelt habe
b) wann ich diese gecancelt habe
Ich habe vor zwei Tagen auf ServerA eine RDP Session via Task Manager gecancelt. Jetzt will ich in einem Log sehen
a) wenn ich gecancelt habe
b) wann ich diese gecancelt habe
Ich fürchte, das geht ohne eingeschaltetes Auditing nicht. Im Standard werden afaik nur erfolgreiche Anmeldungen geloggt.
Moin,
Nur der Verständlichkeit wegen:
Canceln = logoff?
Oder
Canceln = disconnect?
Denn wenn es ein logoff ist, findet sich doch was im Eventlog?
Notfalls, wenn du das logoff auslöst, erstelle doch selbst einen eventlog-Eintrag!?
Oder willst du das ab sofort für rückwirkende Logoffs sehen?
Gruß
em-pie
Nur der Verständlichkeit wegen:
Canceln = logoff?
Oder
Canceln = disconnect?
Denn wenn es ein logoff ist, findet sich doch was im Eventlog?
Notfalls, wenn du das logoff auslöst, erstelle doch selbst einen eventlog-Eintrag!?
Oder willst du das ab sofort für rückwirkende Logoffs sehen?
Gruß
em-pie
Ebenso wie em-pie frage ich: "was ist den canceln?". Bitte verwende doch den passenden Begriff.
Ich wüsste nicht, wo überhaupt das Problem liegt, Leute drauf zu lassen. Es wird keine RDP-Sitzung vergeudet, das ist Unsinn. Es können beliebig viele Admins in getrenntem Zustand drauf sein. Und Sicherheit/Datenschutz? Erklär mal, was Du damit meinst.
@lks und Penny
schaut den Screenshot an:
Und das ist auch gar kein Problem, denn Anwendungen werden ja gar nicht beendet hierbei, alles läuft weiter
Ich wüsste nicht, wo überhaupt das Problem liegt, Leute drauf zu lassen. Es wird keine RDP-Sitzung vergeudet, das ist Unsinn. Es können beliebig viele Admins in getrenntem Zustand drauf sein. Und Sicherheit/Datenschutz? Erklär mal, was Du damit meinst.
@lks und Penny
Aber wenn zwei "Admins" die Leitungen schon "besetzen" kommt er nicht mehr drauf um in den Taskmanager zu schauen.
Mumpitz schaut den Screenshot an:Und das ist auch gar kein Problem, denn Anwendungen werden ja gar nicht beendet hierbei, alles läuft weiter
Hallo Penny,
wäre es da nicht das einfachste, in den RDP-Einstellungen einzustellen, dass getrennte Sitzungen nach x Minuten abgemeldet werden? Kollegen informieren und fertig.
E.
wäre es da nicht das einfachste, in den RDP-Einstellungen einzustellen, dass getrennte Sitzungen nach x Minuten abgemeldet werden? Kollegen informieren und fertig.
E.
Über den Task Manager die die getrennte Session abmelden (logoff).
Denn wenn es ein logoff ist, findet sich doch was im Eventlog?
Notfalls, wenn du das logoff auslöst, erstelle doch selbst einen eventlog-Eintrag!?
OK, muss ich mal genauer im Eventlog nachsehen. Allerdings wird das dauern denn ich mache jetzt erstmal Urlaub
Oder willst du das ab sofort für rückwirkende Logoffs sehen?
Wenn es im Eventlog steht, sollte es auch rückwirkend zu sehen sein.
Gruß
em-pie
Gruss Penny.
Denn wenn es ein logoff ist, findet sich doch was im Eventlog?
Notfalls, wenn du das logoff auslöst, erstelle doch selbst einen eventlog-Eintrag!?
Oder willst du das ab sofort für rückwirkende Logoffs sehen?
Gruß
em-pie
Gruss Penny.
Zitat von @DerWoWusste:
Ebenso wie em-pie frage ich: "was ist den canceln?". Bitte verwende doch den passenden Begriff.
Jupp Du hast recht ich meine im Task Manager die getrennte Session abmelden.Ebenso wie em-pie frage ich: "was ist den canceln?". Bitte verwende doch den passenden Begriff.
Ich wüsste nicht, wo überhaupt das Problem liegt, Leute drauf zu lassen. Es wird keine RDP-Sitzung vergeudet, das ist Unsinn. Es können beliebig viele Admins in getrenntem Zustand drauf sein. Und Sicherheit/Datenschutz? Erklär mal, was Du damit meinst.
Ok, um es mit realen Begriffen zu erklären:Wenn man von einen Serverraum die Tür nicht ordnungsgemäß schließt, obwohl es Anweisungen dazu gibt. Denn wenn man diese Tür offen läft, ist man schneller im Serverraum.
Das ist Blödheit, Dummheit, Faulheit und Unfähigkeit - Kurz Schlamperei.
@lks und Penny
Richtig.Aber wenn zwei "Admins" die Leitungen schon "besetzen" kommt er nicht mehr drauf um in den Taskmanager zu schauen.
Mumpitz schaut den Screenshot an:
Und das ist auch gar kein Problem, denn Anwendungen werden ja gar nicht beendet hierbei, alles läuft weiter
Auch richtig. Dazu gibt es aber Serviceaccounts oder man erstellt diese. schaut den Screenshot an:Und das ist auch gar kein Problem, denn Anwendungen werden ja gar nicht beendet hierbei, alles läuft weiter
Gruss Penny.
Moin.
Nicht dass es mir wichtig wäre, aber folgen kann ich noch immer nicht:
Nicht dass es mir wichtig wäre, aber folgen kann ich noch immer nicht:
Wenn man von einen Serverraum die Tür nicht ordnungsgemäß schließt, obwohl es Anweisungen dazu gibt
RDP-Sitzungen hinterlassen keine offenen Türen. Der Server ist nicht wirklich unsicherer, wenn noch jemand angemeldet ist. Auch sehe ich keine Verbindung zum Datenschutz.Dazu gibt es aber Serviceaccounts
Serviceaccounts für Services, ja. Aber hier geht es doch um interaktive Sitzungen.
@lks
Um es zu erklären: Von der Geschäftsleitung bzw. beim Audit wurde festgestellt, daß RDP getrennte Sessions aktiv sind.
Es gibt schriftliche Anweisungen, daß RDP Sessions nach der Nutzung unverzüglich ABZUMELDEN Und nicht nur zu trennen sind!!!
D.h. wenn getrennte RDP Sessions erkannt werden, welche mehrere Tage getrennt sind, sind diese abzumelden / canceln.
Wenn Angestellte, welche Berechtigungen für RDP Sessions haben, und zu blöd / zu dumm / zu faul und unfähig sind sich danach von der RDP Session abzumelden, werden diese Sessions zukünfig OHNE Rückfrage gecancelt (abgemeldet).
Gruss Penny.
Um es zu erklären: Von der Geschäftsleitung bzw. beim Audit wurde festgestellt, daß RDP getrennte Sessions aktiv sind.
Es gibt schriftliche Anweisungen, daß RDP Sessions nach der Nutzung unverzüglich ABZUMELDEN Und nicht nur zu trennen sind!!!
D.h. wenn getrennte RDP Sessions erkannt werden, welche mehrere Tage getrennt sind, sind diese abzumelden / canceln.
Wenn Angestellte, welche Berechtigungen für RDP Sessions haben, und zu blöd / zu dumm / zu faul und unfähig sind sich danach von der RDP Session abzumelden, werden diese Sessions zukünfig OHNE Rückfrage gecancelt (abgemeldet).
Gruss Penny.
Hallo Zusammen
Dein Problem wegen RDP Session Logout/Session Cancel ist ein Problem nicht nur bei Admins dies gibt es auch Bei Usern.
Kleiner Tipp : Baue für die Admins Jump Server, dort bindest du ein sogenanntes Logout Script ein. Über diesen Jump Server kann der Admin sich auf andere Server verbinden. Sollte wiedermal der Admin nicht sich sauber vom anderen System Trennen, siehst du den Eintrag auf dem Jump Server.
Und das Script wird automatisch den Admin aus den RDP Sessions ausloggen. Somit hast du eine Saubere Lösung.
Abgesehen davon sollten Admins Wissen wie man sich von Systemen Ausloggt. Ansonsten mal den Jungs auf die Finger Hauen
Ein richtiger Admin weiß was er tut, ansonsten ist er nur ein fauler User
Gruß
BrockM
Dein Problem wegen RDP Session Logout/Session Cancel ist ein Problem nicht nur bei Admins dies gibt es auch Bei Usern.
Kleiner Tipp : Baue für die Admins Jump Server, dort bindest du ein sogenanntes Logout Script ein. Über diesen Jump Server kann der Admin sich auf andere Server verbinden. Sollte wiedermal der Admin nicht sich sauber vom anderen System Trennen, siehst du den Eintrag auf dem Jump Server.
Und das Script wird automatisch den Admin aus den RDP Sessions ausloggen. Somit hast du eine Saubere Lösung.
Abgesehen davon sollten Admins Wissen wie man sich von Systemen Ausloggt. Ansonsten mal den Jungs auf die Finger Hauen
Ein richtiger Admin weiß was er tut, ansonsten ist er nur ein fauler User
Gruß
BrockM
