52 lines
2.0 KiB
Markdown
52 lines
2.0 KiB
Markdown
# RDP Login Monitor
|
|
|
|
**Версия:** `2.1.2-SAC` (`$ScriptVersion` + `version.txt`)
|
|
|
|
PowerShell-мониторинг Windows: RDP/RDS, RD Gateway, WinRM, admin share, блокировки УЗ, heartbeat, отчёты.
|
|
|
|
## Установка (домен)
|
|
|
|
```powershell
|
|
powershell -NoProfile -ExecutionPolicy Bypass -File "\\<DC>\NETLOGON\RDP-login-monitor\Deploy-LoginMonitor.ps1"
|
|
```
|
|
|
|
Каталог: `C:\ProgramData\RDP-login-monitor\` · настройки: `login_monitor.settings.ps1` (не перезаписываются при деплое).
|
|
|
|
## События в SAC
|
|
|
|
| Источник | Тип SAC |
|
|
|----------|---------|
|
|
| Security 4624/4625 | `rdp.login.*` |
|
|
| Security 5140 | `smb.admin_share.access` |
|
|
| WinRM Operational 91 | `winrm.session.started` |
|
|
| RD Gateway 302/303 | `rdg.connection.*` → flap 302→303 в SAC |
|
|
| Security 4740 (КД) | `auth.account.locked` |
|
|
| Агент | `agent.heartbeat`, `report.daily.rdp`, `agent.inventory` |
|
|
|
|
**SAC:** `Sac-Client.ps1`, `$UseSAC` — [agent-integration.md](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/agent-integration.md). Poll команд `qwinsta`/`logoff` (≥ 2.1.0-SAC).
|
|
|
|
## Ключевые файлы
|
|
|
|
| Файл | Назначение |
|
|
|------|------------|
|
|
| `Login_Monitor.ps1` | Основной цикл |
|
|
| `Sac-Client.ps1` | Отправка в SAC |
|
|
| `Deploy-LoginMonitor.ps1` | NETLOGON, задачи, WinRM self-heal |
|
|
| `login_monitor.settings.ps1` | Секреты и параметры (локально) |
|
|
|
|
## Быстрые проверки
|
|
|
|
```powershell
|
|
Get-Content "C:\ProgramData\RDP-login-monitor\Logs\login_monitor.log" -Tail 60
|
|
Login_Monitor.ps1 -CheckSac
|
|
```
|
|
|
|
## Документация
|
|
|
|
- [Docs/README.md](Docs/README.md) — развёртывание, Exchange
|
|
- [security-alert-center](https://git.kalinamall.ru/PapaTramp/security-alert-center) — сервер, RDG flap, qwinsta через SAC UI/Seaca
|
|
|
|
## English
|
|
|
|
See repository docs; agent contract is in SAC `docs/agent-integration.md`.
|