{"id":858299,"date":"2026-08-24T10:00:44","date_gmt":"2026-08-24T10:00:44","guid":{"rendered":"https:\/\/www.ninjaone.com\/?p=858299"},"modified":"2026-08-24T10:00:44","modified_gmt":"2026-08-24T10:00:44","slug":"come-verificare-la-cronologia-delle-connessioni-a-remote-desktop","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/it\/blog\/come-verificare-la-cronologia-delle-connessioni-a-remote-desktop\/","title":{"rendered":"Come controllare la cronologia delle connessioni a Remote Desktop e creare una linea temporale pronta per gli audit"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Punti chiave<\/h2>\n<ul>\n<li>Conosci le tue fonti di log: Windows registra l&#8217;attivit\u00e0 RDP nei log di sicurezza, nei log operativi TerminalServices-LocalSessionManager e nei log operativi TerminalServices-RemoteConnectionManager.<\/li>\n<li>Utilizza gli ID evento corretti: 1149 (connessione di rete), 4624\/4625 (accesso riuscito\/fallito), 21\u201325, 39 e 40 (ciclo di vita della sessione) e 4778\/4779 (riconnessione\/disconnessione).<\/li>\n<li>Esportazioni di script con Get-WinEvent: Utilizza il comando &#8220;Get-WinEvent&#8221; di PowerShell con l&#8217;opzione &#8220;-FilterHashtable&#8221; per estrarre ed esportare in formato CSV gli eventi RDP dai log di sicurezza, LSM e RCM.<\/li>\n<li>Crea cronologie delle sessioni mettendo in relazione gli eventi: Abbina l&#8217;evento 1149 all&#8217;evento 4624 (con una tolleranza di \u00b11 minuto) per associare una connessione a un utente autenticato e a un indirizzo IP di origine.<\/li>\n<li>Integra i log del server con gli artefatti lato client: La chiave di registro &#8220;HKCUSoftwareMicrosoftTerminal Server ClientDefault&#8221; registra le destinazioni RDP contattate di recente quando si utilizza mstsc.exe.<\/li>\n<li>Conservazione e centralizzazione dei log: Aumenta la dimensione del log di sicurezza oltre il valore predefinito, archivia i log prima del rollover e utilizza Windows Event Forwarding o un sistema SIEM per centralizzare i dati RDP.<\/li>\n<\/ul>\n<\/div>\n<p><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/remote-desktop-protocol-rdp\/\">Il protocollo RDP (Remote Desktop Protocol)<\/a> lascia tracce nei log di Windows. La sfida consiste nel distinguere le sessioni interattive remote dagli accessi tramite console e nel ricomporre gli eventi in un&#8217;unica narrazione. Questo articolo fornir\u00e0 gli ID degli eventi, i filtri e un semplice modello di correlazione, oltre a risorse lato client e consigli pratici tratti dall&#8217;analisi forense sul campo e dalle guide amministrative.<\/p>\n<h2>Quali file di log di Windows registrano l&#8217;attivit\u00e0 RDP?<\/h2>\n<p>Sono rilevanti tre canali dedicati agli eventi:<\/p>\n<ul>\n<li>Il log di sicurezza (eventi di autenticazione 4624, 4625, 4634, 4647, 4778, 4779),<\/li>\n<li>il log &#8220;TerminalServices-LocalSessionManager\/Operational&#8221; (eventi relativi al ciclo di vita della sessione 21\u201325, 39, 40) e<\/li>\n<li>il log &#8220;TerminalServices-RemoteConnectionManager\/Operational&#8221; (evento di connessione pre-autenticazione 1149).<\/li>\n<\/ul>\n<p>Ogni canale rileva una fase diversa di una connessione RDP \u2014 contatto di rete, autenticazione e gestione della sessione attiva \u2014 e per ottenere una cronologia completa dei controlli \u00e8 necessario disporre di tutti e tre.<\/p>\n<h2>Verifica della cronologia delle connessioni dal desktop e creazione di una linea temporale<\/h2>\n<p>Per verificare la cronologia delle connessioni dei computer desktop e creare una linea temporale \u00e8 necessario mappare le fonti degli eventi, estrarre la cronologia, correlare gli eventi in sessioni, rilevare gli errori, aggiungere artefatti, centralizzare e conservare i dati, nonch\u00e9 analizzare i risultati.<\/p>\n<p>\ud83d\udccc <strong>Prerequisiti:<\/strong><\/p>\n<ul>\n<li>Un amministratore locale o figura equivalente sui sistemi di destinazione<\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/it-hub\/gestione-degli-endpoint\/cos-e-powershell\/\">PowerShell<\/a>: Accesso remoto o accesso diretto a Visualizza eventi<\/li>\n<li>Un sistema centrale o SIEM per archiviare i file esportati ed eseguire i log<\/li>\n<li>Inoltro opzionale degli eventi di Windows per evitare lacune dovute al rollover dei log<\/li>\n<\/ul>\n<h3>Fase 1: Mappare le fonti degli eventi<\/h3>\n<p>\ud83d\udccc <strong>Caso d&#8217;uso: <\/strong>Devi identificare quali canali di eventi di Windows <a href=\"https:\/\/www.ninjaone.com\/blog\/how-to-audit-rdp-logs-in-event-viewer\/\">registrano gli eventi di autenticazione<\/a> e quali forniscono il contesto della sessione RDP e della connessione ai fini dell&#8217;analisi.<\/p>\n<ol>\n<li>Premi la combinazione di tasti Win + R, digita \u201ceventvwr.msc\u201d e premi Invio.<\/li>\n<li>Segui il percorso:\n<ul>\n<li>Log di sicurezza delle applicazioni e dei servizi &gt; Microsoft &gt; Windows &gt; TerminalServices-LocalSessionManager &gt; Operational TerminalServices-RemoteConnectionManager &gt; Operational<\/li>\n<\/ul>\n<\/li>\n<li>Esamina gli ID degli eventi chiave in base al contesto:\n<ul>\n<li>Autenticazione (log di sicurezza): 4624, 4625, 4634, 4647<\/li>\n<li>Connessione RDP (prima dell&#8217;accesso): 1149<\/li>\n<li>Attivit\u00e0 delle sessioni RDP (dopo l&#8217;accesso): 21, 22, 23, 24, 25), 39, 40<\/li>\n<li>Riconnessione\/disconnessione RDP (log di sicurezza): 4778, 4779<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p><strong>Nota:<\/strong> Gli ID evento 39 e 40 consentono di distinguere un utente che si \u00e8 disconnesso formalmente (Start &gt; Disconnetti) da uno che ha semplicemente chiuso la finestra RDP. Gli ID evento 4778 e 4779 del log di sicurezza registrano lo stesso ciclo di ricollegamento\/disconnessione e includono l&#8217;indirizzo IP del client, cosa che li rende utili per l&#8217;attribuzione dell\u2019origine.<\/p>\n<h4>Tabella riassuntiva di tutti gli ID evento<\/h4>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>ID evento<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Log<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Descrizione<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Stato<\/strong><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">1149<\/td>\n<td>RCM\/Operativo<\/td>\n<td>Connessione di rete stabilita (pre-autenticazione)<\/td>\n<td style=\"text-align: center;\">Connessione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">4624<\/td>\n<td>Sicurezza<\/td>\n<td>Accesso riuscito (filtro LogonType 10, 7, 3)<\/td>\n<td style=\"text-align: center;\">Autenticazione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">4625<\/td>\n<td>Sicurezza<\/td>\n<td>Tentativo di accesso non riuscito<\/td>\n<td style=\"text-align: center;\">Autenticazione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">4778<\/td>\n<td>Sicurezza<\/td>\n<td>La sessione si \u00e8 ricollegata a Window Station<\/td>\n<td style=\"text-align: center;\">Riconnessione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">4779<\/td>\n<td>Sicurezza<\/td>\n<td>Sessione disconnessa da Window Station<\/td>\n<td style=\"text-align: center;\">Disconnessione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">21<\/td>\n<td>LSM\/Operativo<\/td>\n<td>Accesso alla sessione riuscito<\/td>\n<td style=\"text-align: center;\">Sessione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">22<\/td>\n<td>LSM\/Operativo<\/td>\n<td>Notifica di avvio di Shell<\/td>\n<td style=\"text-align: center;\">Sessione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">23<\/td>\n<td>LSM\/Operativo<\/td>\n<td>Disconnessione dalla sessione avvenuta con successo<\/td>\n<td style=\"text-align: center;\">Disconnessione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">24<\/td>\n<td>LSM\/Operativo<\/td>\n<td>La sessione \u00e8 stata disconnessa<\/td>\n<td style=\"text-align: center;\">Disconnessione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">25<\/td>\n<td>LSM\/Operativo<\/td>\n<td>La riconnessione alla sessione \u00e8 andata a buon fine<\/td>\n<td style=\"text-align: center;\">Riconnessione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">39<\/td>\n<td>LSM\/Operativo<\/td>\n<td>Sessione disconnessa dall&#8217;utente\/amministratore (formale)<\/td>\n<td style=\"text-align: center;\">Disconnessione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">40<\/td>\n<td>LSM\/Operativo<\/td>\n<td>Sessione disconnessa con codice motivo<\/td>\n<td style=\"text-align: center;\">Disconnessione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">4634<\/td>\n<td>Sicurezza<\/td>\n<td>Sessione disconnessa<\/td>\n<td style=\"text-align: center;\">Disconnessione<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">4647<\/td>\n<td>Sicurezza<\/td>\n<td>Disconnessione avviata dall&#8217;utente<\/td>\n<td style=\"text-align: center;\">Disconnessione<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3>Fase 2: Recuperare la cronologia con PowerShell<\/h3>\n<p>\ud83d\udccc <strong>Caso d&#8217;uso: <\/strong>Esportare gli eventi RDP rilevanti da pi\u00f9 canali a scopo di analisi o archiviazione.<\/p>\n<p><strong>Nota:<\/strong> Utilizza Get-WinEvent per tutte le query relative al log eventi. Il vecchio cmdlet Get-EventLog si basa su un&#8217;API Win32 obsoleta, restituisce risultati imprecisi in alcuni casi ed \u00e8 stato completamente rimosso da PowerShell 7. Tutti gli script riportati in questo articolo utilizzano Get-WinEvent in questo modo.<\/p>\n<ol>\n<li>Premi il tasto Win, digita \u201cPowerShell\u201d, quindi clicca su \u201cEsegui come amministratore\u201d.<\/li>\n<li>Copia e incolla il seguente script nella finestra di comando prima di premere Invio:<\/li>\n<\/ol>\n<table>\n<tbody>\n<tr>\n<td><code># Log di sicurezza (operazioni riuscite e non riuscite)<\/code><\/p>\n<p><code>Get-WinEvent -FilterHashtable @{<\/code><\/p>\n<p><code>LogName = 'Security'<\/code><\/p>\n<p><code>Id = 4624,4625<\/code><\/p>\n<p><code>StartTime = (Get-Date).AddDays(-7)<\/code><\/p>\n<p><code>} | ForEach-Object {<\/code><\/p>\n<p><code>$xml = [xml]$_.ToXml()<\/code><\/p>\n<p><code>[PSCustomObject]@{<\/code><\/p>\n<p><code>TimeCreated = $_.TimeCreated<\/code><\/p>\n<p><code>EventID = $_.Id<\/code><\/p>\n<p><code>LogonType = ($xml.Event.EventData.Data | Where-Object { $_.Name -eq 'LogonType' }).'#text'<\/code><\/p>\n<p><code>User = ($xml.Event.EventData.Data | Where-Object { $_.Name -eq 'TargetUserName' }).'#text'<\/code><\/p>\n<p><code>IpAddress = ($xml.Event.EventData.Data | Where-Object { $_.Name -eq 'IpAddress' }).'#text'<\/code><\/p>\n<p><code>}<\/code><\/p>\n<p><code>} | Export-Csv C:\\Logs\\SecurityEvents_WithLogonType.csv -NoTypeInformation<\/code><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"3\">\n<li>Successivamente, utilizza il seguente script:<\/li>\n<\/ol>\n<table>\n<tbody>\n<tr>\n<td><code>Get-WinEvent -LogName \"Microsoft-Windows-TerminalServices-LocalSessionManager\/Operational\" |<\/code><\/p>\n<p><code>Export-Csv C:\\Logs\\LSM_Events.csv -NoTypeInformation<\/code><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3>Fase 3: Correlare in sessioni<\/h3>\n<p>\ud83d\udccc <strong>Caso d&#8217;uso: <\/strong>Creare cronologie delle sessioni mettendo in relazione gli accessi degli utenti, gli indirizzi IP e la durata delle sessioni.<\/p>\n<ol>\n<li>Abbina l\u2019evento 1149 (RCM) con l\u2019evento 4624 (LogonType 10):\n<ul>\n<li>Effettua la correlazione in base al nome utente e al timestamp con una tolleranza di \u00b1 1 minuto.<br \/>\n<strong>Nota:<\/strong> Filtra anche per LogonType 7 (riconnessione a una sessione esistente) e LogonType 3 (RDP a livello di rete in determinate configurazioni). Se applichi un filtro esclusivamente sul LogonType 10, rischi di perdere gli eventi di riconnessione.<\/li>\n<\/ul>\n<\/li>\n<li>Abbina LSM 22 (avvio della shell) per confermare una sessione attiva.<\/li>\n<li>Utilizza LSM 23 o 24 per determinare la fine della sessione.<\/li>\n<li>Calcola la durata della sessione utilizzando i timestamp.<\/li>\n<\/ol>\n<h3>Fase 4: Rilevare errori e anomalie<\/h3>\n<p>\ud83d\udccc <strong>Caso d&#8217;uso: <\/strong>Rilevare i tentativi di attacchi di brute force, di &#8220;credential spray&#8221; o di uso improprio degli account.<\/p>\n<ol>\n<li>Apri Visualizzatore eventi &gt; Log di Windows &gt; Sicurezza.<\/li>\n<li>A destra, clicca su Filtra log corrente\u2026<\/li>\n<li>Nel campo &#8220;ID evento&#8221;, digita &#8220;4625&#8221;, quindi clicca su OK.<\/li>\n<li>Clicca due volte su un evento qualsiasi per aprirlo. Nella scheda &#8220;Generale&#8221; o &#8220;Dettagli&#8221;, cerca quanto segue:\n<ul>\n<li>TargetUserName (la persona di destinazione)<\/li>\n<li>Indirizzo IP (da dove proviene)<\/li>\n<li>Stato\/Sottostato (motivo dell&#8217;errore)<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h3>Fase 5: Aggiungere artefatti<\/h3>\n<p>\ud83d\udccc <strong>Caso d&#8217;uso: <\/strong>Eseguire la correlazione dalla workstation dell&#8217;operatore in caso di mancanza dei log lato server.<\/p>\n<ol>\n<li>Premi Win + R, digita \u201cregedit\u201d e quindi premi Invio.<\/li>\n<li>Naviga in questa posizione:\n<ul>\n<li>HKEY_CURRENT_USER\\Software\\Microsoft\\Terminal Server Client\\Default<\/li>\n<\/ul>\n<\/li>\n<li>Sulla destra vedrai voci come MRU0, MRU1 e MRU2, che includono nomi di server o indirizzi IP. Annota gli obiettivi che ti interessano.<\/li>\n<\/ol>\n<p><strong>Nota<\/strong>: Le chiavi di registro HKCU\\Software\\Microsoft\\Terminal Server Client\\Default vengono popolate dallo strumento integrato &#8220;Connessione Remote Desktop&#8221; (mstsc.exe), che continua a essere supportato per le connessioni RDP dirette peer-to-peer. Se la tua organizzazione utilizza Windows App (la soluzione di Microsoft che sostituisce la vecchia app Remote Desktop Store e il client MSI, necessaria per le connessioni ad Azure Virtual Desktop, Windows 365 e Microsoft Dev Box), queste chiavi di registro potrebbero non essere presenti. In tal caso, controlla gli artefatti specifici delle app di Windows o i log di sessione nel portale di Azure o in Intune. Se la connessione RDP non \u00e8 stata avviata da questa workstation o se \u00e8 stato utilizzato uno strumento di accesso remoto di terze parti, questi elementi potrebbero non essere presenti, indipendentemente dal client utilizzato.<\/p>\n<p>Successivamente, segui questi passaggi:<\/p>\n<ol>\n<li>Apri Esplora file.<\/li>\n<li>Nella barra degli indirizzi, incolla questo:\n<ol style=\"list-style-type: lower-alpha;\">\n<li>%AppData%\\Microsoft\\Windows\\Recent\\AutomaticDestinations\\<\/li>\n<\/ol>\n<\/li>\n<li>Ordina per data di modifica.<\/li>\n<li>Cerca i file di grandi dimensioni o quelli pi\u00f9 recenti. Questi dati possono essere analizzati con strumenti forensi, ma gi\u00e0 la loro presenza e i timestamp sono di per s\u00e9 indicativi.<\/li>\n<\/ol>\n<p>A questo punto, segui questi passaggi:<\/p>\n<ol>\n<li>In Esplora file, vai a questo percorso:\n<ol style=\"list-style-type: lower-alpha;\">\n<li>C:\\Users\\&lt;username&gt;\\Documents\\<\/li>\n<\/ol>\n<\/li>\n<li>Nella casella di ricerca in alto a destra, digita quanto segue:\n<ul>\n<li>*.rdp<\/li>\n<\/ul>\n<\/li>\n<li>Prendi nota dei nomi dei file e delle relative date di modifica<\/li>\n<\/ol>\n<p><strong>Nota<\/strong>: i file .rdp sono elementi opzionali presenti sul lato client e sono disponibili solo se un utente ha salvato manualmente un file di connessione RDP. La loro assenza non esclude l&#8217;utilizzo dell&#8217;RDP.<\/p>\n<h3>Fase 6: Centralizzare e conservare<\/h3>\n<p>\ud83d\udccc <strong>Caso d&#8217;uso: <\/strong>Garantire una visibilit\u00e0 continua e prevenire la perdita dei log.<\/p>\n<ol>\n<li>Premi Win + R, digita \u201ceventvwr.msc\u201d e quindi premi Invio.<\/li>\n<li>Vai su Log di Windows &gt; Sicurezza.<\/li>\n<li>Clicca con il pulsante destro del mouse su Sicurezza e seleziona Propriet\u00e0.<\/li>\n<li>Imposta una dimensione massima del log pi\u00f9 grande.<\/li>\n<li>Selezionare \u201cSovrascrivi eventi\u201d se necessario oppure \u201cArchivia il log quando \u00e8 pieno\u201d, quindi clicca su OK.<\/li>\n<\/ol>\n<p><strong>Nota<\/strong>: Non esiste una dimensione specifica consigliata per il log di sicurezza. Un approccio comune consiste nel scegliere la dimensione del log in base al volume previsto di eventi e al periodo di conservazione desiderato.<\/p>\n<p>Per salvarne una copia, segui questi passaggi:<\/p>\n<ol>\n<li>In Visualizzatore eventi, clicca con il pulsante destro del mouse su Sicurezza &gt; Salva tutti gli eventi con nome\u2026<\/li>\n<li>Seleziona un percorso, per esempio C:\\Logs\\Security_&lt;date&gt;.evtx.<\/li>\n<li>Fai la stessa cosa per i seguenti:\n<ul>\n<li>TerminalServices-LocalSessionManager \/ Operational<\/li>\n<li>TerminalServices-RemoteConnectionManager \/ Operational<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h3>Fase 7: Risultati operativi<\/h3>\n<p>\ud83d\udccc <strong>Caso d&#8217;uso: <\/strong>Trasformare i dati in azioni concrete e garantire l\u2019integrit\u00e0 dei controlli.<\/p>\n<ol>\n<li>Apri ticket in caso di errori ripetuti, nuovi indirizzi IP di origine o copertura dei log mancante.<\/li>\n<li>Allega la cronologia alle descrizioni degli incidenti e alle revisioni trimestrali del servizio.<\/li>\n<li>Esamina mensilmente le registrazioni delle sessioni e le eccezioni relative all\u2019accesso.<\/li>\n<\/ol>\n<h2>Best practice per la verifica e la conservazione della cronologia delle connessioni a Remote Desktop<\/h2>\n<p>La tabella che segue riassume le best practice da seguire quando controlli la cronologia delle connessioni a Remote Desktop:<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Pratica<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Scopo<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Valore ottenuto<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Attenzione alla sicurezza, all&#8217;LSM e all&#8217;RCM<\/td>\n<td>Copertura pi\u00f9 ampia<\/td>\n<td>Triage pi\u00f9 rapido e sicuro<\/td>\n<\/tr>\n<tr>\n<td>Filtrare per LogonType 10 e ID<\/td>\n<td>Classificazione corretta<\/td>\n<td>Netta distinzione tra RDP e console<\/td>\n<\/tr>\n<tr>\n<td>Aggiungere eventi di pre-autenticazione e autenticazione<\/td>\n<td>Attribuzione della fonte<\/td>\n<td>Mappatura accurata degli utenti e degli indirizzi IP<\/td>\n<\/tr>\n<tr>\n<td>Normalizzare in CSV e JSON<\/td>\n<td>Prove<\/td>\n<td>Audit periodici e QBR<\/td>\n<\/tr>\n<tr>\n<td>Inoltrare e conservare i log<\/td>\n<td>Affidabilit\u00e0<\/td>\n<td>Linee temporali disponibili all&#8217;occorrenza<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>NinjaOne ti aiuta a controllare la cronologia delle connessioni a Remote Desktop<\/h2>\n<p>Con NinjaOne puoi distribuire script di raccolta e monitoraggio in base al ruolo dei dispositivi, raccogliere e analizzare centralmente i dati dei log eventi, allegare i risultati rilevanti alla documentazione IT e configurare avvisi in grado di generare ticket in caso di condizioni significative (come picchi di guasti o attivit\u00e0 insolite). Alcune configurazioni specifiche di Windows, come l&#8217;inoltro degli eventi, devono essere abilitate a livello di sistema operativo.<\/p>\n<h2>Assicurati che la cronologia RDP sia chiara<\/h2>\n<p>Filtri precisi e uno schema di correlazione semplice garantiscono che la\u00a0<a href=\"https:\/\/www.anyviewer.com\/how-to\/view-connection-history-remote-desktop-windows-10-2578.html\" target=\"_blank\" rel=\"noopener\">cronologia RDP<\/a>\u00a0sia di facile consultazione. Combina gli eventi server con gli artefatti client e pianifica le esportazioni per monitorare chi si \u00e8 connesso, quando e da dove; in questo modo gli artefatti saranno pronti per eventuali audit e indagini.<\/p>\n<p><strong>Argomenti correlati:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/remote-desktop-protocol-rdp\/\">Che cos&#8217;\u00e8 il protocollo RDP (Remote Desktop Protocol)?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/script-hub\/abilitare-o-disabilitare-rdp-usando-powershell\/\">Abilitare o disabilitare il Remote Desktop Protocol (RDP) sulle workstation utilizzando PowerShell<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/blog\/configure-remote-desktop-users-in-windows\/\">Come configurare gli utenti Remote Destkop in Windows<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/blog\/monitor-for-unexpected-rdp-sessions\/\">Come monitorare le sessioni RDP inattese utilizzando i log eventi e PowerShell<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/best-practice-per-proteggere-laccesso-a-remote-desktop\/\">Best practice per la sicurezza dell&#8217;accesso a Remote Desktop negli ambienti delle PMI<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Il protocollo RDP (Remote Desktop Protocol) lascia tracce nei log di Windows. La sfida consiste nel distinguere le sessioni interattive remote dagli accessi tramite console e nel ricomporre gli eventi in un&#8217;unica narrazione. Questo articolo fornir\u00e0 gli ID degli eventi, i filtri e un semplice modello di correlazione, oltre a risorse lato client e consigli [&hellip;]<\/p>\n","protected":false},"author":243,"featured_media":777548,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"no","_lmt_disable":"","footnotes":""},"categories":[4354],"tags":[],"class_list":["post-858299","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operazioni-it"],"acf":[],"modified_by":"Sergio Oricci","_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/858299","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/users\/243"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/comments?post=858299"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/858299\/revisions"}],"predecessor-version":[{"id":858302,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/858299\/revisions\/858302"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media\/777548"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media?parent=858299"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/categories?post=858299"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/tags?post=858299"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}