Ha cambiado el registro de eventos??

[juanjo_16v]

Hola gente:

Antes en el registro de eventos, en sistema, había siempre chorrocientos eventos (hablo de decenas de miles) y se registraba todo, todo hoy al mirar, he visto que hay muchos menos, y no se quedan registrados todos los eventos, y en concreto el de inicio de sesión.

Antes, cuando iniciaba sesión incorrectamente con el Escritorio Remoto, se registraba el evento en "seguridad" pero también en sistema (se registraba algo como, " se ha intentado iniciar sesión desde la IP, pero no se reconoce la combinación de usuario y contraseña" mas o menos) y podías bloquear la IP.

Pero hoy al mirar, sorpresa, quedan registrados los accesos incorrectos, pero al mirar en los eventos del sistema, donde había 30.000, ahora apenas hay 6.000 (y no es que se hayan borrado, porque he hecho una prueba poniendo el usuario y contraseña mal y no se registran). He probando en un windows 10 y lo mismo.


Alguien sabe de otro sitio donde se registre la IP desde la que se intenta acceder por Escritorio Remoto?

saludos

[jmtella]

Hola gente:

Antes en el registro de eventos, en sistema, había siempre chorrocientos eventos (hablo de decenas de miles) y se registraba todo, todo hoy al mirar, he visto que hay muchos menos, y no se quedan registrados todos los eventos, y en concreto el de inicio de sesión.

Antes, cuando iniciaba sesión incorrectamente con el Escritorio Remoto, se registraba el evento en "seguridad" pero también en sistema (se registraba algo como, " se ha intentado iniciar sesión desde la IP, pero no se reconoce la combinación de usuario y contraseña" mas o menos) y podías bloquear la IP.

Pero hoy al mirar, sorpresa, quedan registrados los accesos incorrectos, pero al mirar en los eventos del sistema, donde había 30.000, ahora apenas hay 6.000 (y no es que se hayan borrado, porque he hecho una prueba poniendo el usuario y contraseña mal y no se registran). He probando en un windows 10 y lo mismo.


Alguien sabe de otro sitio donde se registre la IP desde la que se intenta acceder por Escritorio Remoto?

saludos

Ejecuta esto en powershell (como admin) a ver si sale algo:

Get-WinEvent -ProviderName Microsoft-Windows-TerminalServices-LocalSessionManager|? {$_.ID -eq 25}|select-object Timecreated,Message|fl *

[juanjo_16v]

Hola,

Sale algo, pero información de las conexiones correctas, no de los intentos fallidos de conexión.

[jmtella]

Hola,

Sale algo, pero información de las conexiones correctas, no de los intentos fallidos de conexión.

Estan cambiando constantemente los eventos. Lo se, porque tenia scripts precisamente sobre el remote desktop que ya no me funcionan. Mira en los eventos eventos, no de seguridad, sino de conexiones a ver si hay algo...