RDP Login Monitor
Версия: 2.1.2-SAC ($ScriptVersion + version.txt)
PowerShell-мониторинг Windows: RDP/RDS, RD Gateway, WinRM, admin share, блокировки УЗ, heartbeat, отчёты.
Установка (домен)
powershell -NoProfile -ExecutionPolicy Bypass -File "\\<DC>\NETLOGON\RDP-login-monitor\Deploy-LoginMonitor.ps1"
Каталог: C:\ProgramData\RDP-login-monitor\ · настройки: login_monitor.settings.ps1 (не перезаписываются при деплое).
События в SAC
| Источник | Тип SAC |
|---|---|
| Security 4624/4625 | rdp.login.* |
| Security 5140 | smb.admin_share.access |
| WinRM Operational 91 | winrm.session.started |
| RD Gateway 302/303 | rdg.connection.* → flap 302→303 в SAC |
| Security 4740 (КД) | auth.account.locked |
| Агент | agent.heartbeat, report.daily.rdp, agent.inventory |
SAC: Sac-Client.ps1, $UseSAC — agent-integration.md. Poll команд qwinsta/logoff (≥ 2.1.0-SAC).
Ключевые файлы
| Файл | Назначение |
|---|---|
Login_Monitor.ps1 |
Основной цикл |
Sac-Client.ps1 |
Отправка в SAC |
Deploy-LoginMonitor.ps1 |
NETLOGON, задачи, WinRM self-heal |
login_monitor.settings.ps1 |
Секреты и параметры (локально) |
Быстрые проверки
Get-Content "C:\ProgramData\RDP-login-monitor\Logs\login_monitor.log" -Tail 60
Login_Monitor.ps1 -CheckSac
Документация
- Docs/README.md — развёртывание, Exchange
- security-alert-center — сервер, RDG flap, qwinsta через SAC UI/Seaca
English
See repository docs; agent contract is in SAC docs/agent-integration.md.