$StartDate = (Get-Date).AddDays(-30); Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=$StartDate} -ErrorAction SilentlyContinue | ForEach-Object { $xml=[xml]$_.ToXml(); $data=@{}; foreach($d in $xml.Event.EventData.Data){ $data[$d.Name]=$d.'#text' }; if($data['LogonType'] -eq '10'){ [PSCustomObject]@{ ComputerName=$env:COMPUTERNAME; TimeCreated=$_.TimeCreated.ToString('yyyy-MM-dd HH:mm:ss'); TargetUserName=$data['TargetUserName']; TargetDomainName=$data['TargetDomainName']; IpAddress=$data['IpAddress']; WorkstationName=$data['WorkstationName']; LogonProcessName=$data['LogonProcessName']; AuthenticationPkg=$data['AuthenticationPackageName']; EventID=$_.Id } } } | Sort-Object TimeCreated

Yukarıdaki komutu kullanın

PowerShell ile RDP Giriş Log Analizi | Event ID 4624 Security Log İnceleme

🖥️ PowerShell ile RDP Giriş Log Analizi

Windows Security Log üzerinden RDP (Uzak Masaüstü) bağlantılarını analiz edin ve giriş aktivitelerini inceleyin.

🚀 PowerShell Komutu

Bu script, Windows Security Log üzerinde son 30 gün içerisindeki RDP girişlerini (Logon Type 10) analiz eder.

$StartDate = (Get-Date).AddDays(-30); Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=$StartDate} -ErrorAction SilentlyContinue | ForEach-Object { $xml=$_.ToXml(); $data=@{}; foreach($d in $xml.Event.EventData.Data){ $data[$d.Name]=$d.'#text' }; if($data['LogonType'] -eq '10'){ [PSCustomObject]@{ ComputerName=$env:COMPUTERNAME; TimeCreated=$_.TimeCreated.ToString('yyyy-MM-dd HH:mm:ss'); TargetUserName=$data['TargetUserName']; TargetDomainName=$data['TargetDomainName']; IpAddress=$data['IpAddress']; WorkstationName=$data['WorkstationName']; LogonProcessName=$data['LogonProcessName']; AuthenticationPkg=$data['AuthenticationPackageName']; EventID=$_.Id } } } | Sort-Object TimeCreated

Bu komut yalnızca başarılı RDP bağlantılarını listeler ve kullanıcı/IP bazlı analiz yapmanızı sağlar.

📌 Script Ne Yapıyor?

Son 30 günlük Security loglarını tarar
Event ID 4624 (başarılı giriş) kayıtlarını alır
XML veriyi parse eder
Sadece LogonType = 10 (RDP) filtreler
Kullanıcı, IP ve oturum bilgilerini çıkarır
Zamana göre sıralar

📌 Çıktı Alanları

Alan	Açıklama
ComputerName	Logun alındığı sistem
TimeCreated	Giriş zamanı
TargetUserName	Kullanıcı adı
TargetDomainName	Domain bilgisi
IpAddress	Bağlanan IP adresi
WorkstationName	İstemci bilgisayar adı
LogonProcessName	Giriş süreci
AuthenticationPkg	Kimlik doğrulama paketi
EventID	Event ID (4624)

🔒 Güvenlik Uyarısı

Bu komut yalnızca yetkili olduğunuz sistemlerde kullanılmalıdır. İzinsiz log inceleme işlemleri yasal sorunlara yol açabilir.

📝 Sonuç

PowerShell ile Windows Security Log analizi, özellikle RDP girişlerini takip etmek için güçlü bir yöntemdir. Event ID 4624 ve LogonType 10 filtreleri ile uzak bağlantılar detaylı şekilde incelenebilir.