{"id":916558,"date":"2026-10-29T17:03:34","date_gmt":"2026-10-29T17:03:34","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/log-rdp-visualizzatore-eventi\/"},"modified":"2026-10-29T17:03:35","modified_gmt":"2026-10-29T17:03:35","slug":"log-rdp-visualizzatore-eventi","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/it\/blog\/log-rdp-visualizzatore-eventi\/","title":{"rendered":"Come controllare Servizi Desktop remoto e RDP nel Visualizzatore eventi"},"content":{"rendered":"<div class=\"in-context-cta\"><h2 style=\"margin-top: 0px;\">Punti chiave<\/h2>\n<ul>\n<li>Individua gli ID evento esatti e le posizioni dei log per le attivit\u00e0 RDP rilevanti, come 1149, 4624 e 4625, e abilita i log corrispondenti.<\/li>\n<li>Definisci baseline e crea regole di avviso per accessi non riusciti, connessioni fuori orario e tentativi ripetuti, cos\u00ec da ridurre il rumore di fondo e rilevare gli abusi tempestivamente.<\/li>\n<li>Automatizza la raccolta dei log con script PowerShell, attivit\u00e0 pianificate o l\u2019inoltro eventi integrato di Windows per inviare i log RDP a una posizione centralizzata per l\u2019analisi.<\/li>\n<\/ul>\n<\/div>\n<p>Senza un approccio strutturato al monitoraggio e alla revisione delle sessioni desktop remoto, gli accessi sospetti possono passare inosservati, generando flussi di lavoro di audit laboriosi e lacune nella conformit\u00e0. Questa guida spiega come raccogliere e analizzare i registri eventi di Windows relativi a RDP tramite il Visualizzatore eventi, aiutando i team a individuare attivit\u00e0 sospette e a soddisfare i requisiti di audit.<\/p>\n<h2>Processo in 5 fasi per esaminare i log RDP<\/h2>\n<p>Prima di iniziare, assicurati di disporre dell\u2019accesso amministrativo, delle policy di audit avanzate abilitate e di una posizione centralizzata in cui archiviare i log RDP esportati.<\/p>\n<p><strong>Prerequisiti per interrogare i log RDP<\/strong><\/p>\n<ul>\n<li>Diritti amministrativi locali o di dominio per abilitare e interrogare i log RDP.<\/li>\n<li>Criteri di controllo avanzati configurati per registrare gli eventi di accesso e disconnessione nella categoria di controllo Accesso\/Disconnessione.<\/li>\n<li>Log operativi di <strong>TerminalServices\u2011RemoteConnectionManager<\/strong> e <strong>TerminalServices\u2011LocalSessionManager<\/strong> abilitati nel Visualizzatore eventi.<\/li>\n<li>Un raccoglitore di log centralizzato, un <a href=\"https:\/\/www.ninjaone.com\/it-hub\/sicurezza-degli-endpoint\/what-is-security-information-and-event-management-siem\/\">SIEM<\/a> o una posizione di rete condivisa in cui archiviare i file di log RDP esportati.<\/li>\n<\/ul>\n<p>Su ogni endpoint ti servir\u00e0 anche PowerShell (o un motore di scripting equivalente) per l\u2019estrazione automatizzata dei log. Chiarito questo, puoi passare al flusso di lavoro consigliato qui sotto.<\/p>\n<h3>1. Individua i log RDP e Servizi Desktop remoto principali<\/h3>\n<p>I registri eventi contengono un\u2019enorme quantit\u00e0 di dati: elimina il rumore di fondo e individua i log e gli ID evento specifici che registrano l\u2019attivit\u00e0 RDP.<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>ID evento<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Descrizione<\/strong><\/td>\n<\/tr>\n<tr>\n<td>1149<\/td>\n<td>Richiesta di connessione RDP riuscita (RemoteConnectionManager)<\/td>\n<\/tr>\n<tr>\n<td>4624<\/td>\n<td>Accesso riuscito (registro di sicurezza)<\/td>\n<\/tr>\n<tr>\n<td>4625<\/td>\n<td>Accesso non riuscito (registro di sicurezza)<\/td>\n<\/tr>\n<tr>\n<td>4634<\/td>\n<td>Disconnessione (registro di sicurezza)<\/td>\n<\/tr>\n<tr>\n<td>4647<\/td>\n<td>Disconnessione avviata dall\u2019utente (registro di sicurezza)<\/td>\n<\/tr>\n<tr>\n<td>21<\/td>\n<td>Accesso alla sessione (LocalSessionManager)<\/td>\n<\/tr>\n<tr>\n<td>22<\/td>\n<td>Avvio della shell di sessione (LocalSessionManager)<\/td>\n<\/tr>\n<tr>\n<td>24<\/td>\n<td>Disconnessione della sessione (LocalSessionManager)<\/td>\n<\/tr>\n<tr>\n<td>25<\/td>\n<td>Riconnessione della sessione (LocalSessionManager)<\/td>\n<\/tr>\n<tr>\n<td>4778<\/td>\n<td>Riconnessione della sessione remota (TerminalServices)<\/td>\n<\/tr>\n<tr>\n<td>4779<\/td>\n<td>Disconnessione della sessione remota (TerminalServices)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Concentrati sugli ID evento principali: 1149 (connessione riuscita), 4624\/4625 (accesso riuscito\/non riuscito), 4634\/4647 (disconnessione), 21, 22, 24, 25 (ciclo di vita della sessione) e 4778\/4779 (riconnessione\/disconnessione).<\/p>\n<p>Infine, verifica che i Criteri di controllo avanzati registrino gli eventi di accesso e disconnessione nel registro di sicurezza e annota i percorsi dei log e gli ID in un documento di riferimento, cos\u00ec da consultarli rapidamente durante le indagini e la creazione degli avvisi.<\/p>\n<h3>2. Interroga ed esporta gli eventi con PowerShell<\/h3>\n<p>Puoi eseguire <strong>Get\u2011WinEvent<\/strong> per estrarre gli ID evento e i log desiderati, quindi inviare l\u2019output a <strong>Export\u2011Csv<\/strong> per salvare i risultati in un file CSV a fini di analisi o reporting. Puoi consultare i <a href=\"https:\/\/learn.microsoft.com\/en-us\/powershell\/module\/microsoft.powershell.diagnostics\/get-winevent?view=powershell-7.5&#038;viewFallbackFrom=powershell-7.3\" target=\"_blank\" rel=\"noopener\">parametri di Get-WinEvent<\/a> per costruire uno script personalizzato adatto a qualsiasi attivit\u00e0.<\/p>\n<p>Se sei un utente NinjaOne, puoi anche dare un\u2019occhiata allo script gi\u00e0 pronto per <a href=\"https:\/\/www.ninjaone.com\/it\/script-hub\/ricerca-dei-log-degli-eventi-powershell\/\">visualizzare i registri eventi con PowerShell<\/a>. Lo script consente di escludere ID evento specifici e di filtrare gli eventi in base al contenuto del messaggio, offrendo ampie possibilit\u00e0 di personalizzazione.<\/p>\n<h3>3. Definisci baseline e regole di avviso<\/h3>\n<p>Definendo baseline realistiche e concentrandoti solo sull\u2019attivit\u00e0 RDP anomala, puoi individuare e diagnosticare in modo efficiente gli attacchi pi\u00f9 comuni, come il <a href=\"https:\/\/www.ninjaone.com\/it\/it-hub\/sicurezza-degli-endpoint\/cos-e-lo-stuffing-delle-credenziali\/\">credential stuffing<\/a>, i tentativi di forza bruta o i movimenti laterali. Ecco alcuni esempi pratici di regole di avviso che puoi implementare fin da subito.<\/p>\n<h4>Definisci il comportamento RDP normale<\/h4>\n<p>Individua gli utenti tipici, gli orari di accesso abituali e gli intervalli di IP di origine previsti per ciascun sistema, e registra le metriche di riferimento, come il numero medio di connessioni giornaliere e gli orari di punta degli accessi.<\/p>\n<h4>Crea avvisi basati sulle anomalie<\/h4>\n<p>Per isolare ulteriormente le attivit\u00e0 sospette, imposta soglie che si attivino in presenza di &gt; 5 eventi di accesso non riuscito (4625) dallo stesso IP in 10 minuti, di connessioni RDP riuscite (1149) fuori dall\u2019orario di lavoro e di sequenze rapide di disconnessione\/riconnessione (24 \u2192 25) con cambio dell\u2019IP del client.<\/p>\n<h4>Implementa gli avvisi nella tua piattaforma di monitoraggio<\/h4>\n<p>Configura il tuo SIEM o le policy di avviso di NinjaOne per monitorare l\u2019attivit\u00e0 legata a RDP direttamente dagli endpoint gestiti. In NinjaOne puoi creare condizioni di avviso personalizzate basate su ID evento specifici o su metriche di sistema rilevate dall\u2019agente, e definire i canali di notifica pi\u00f9 adatti (email, gestione dei ticket, SMS o integrazioni come Slack).<\/p>\n<p>Con il tempo, affina le soglie di avviso per ridurre i falsi positivi, adattando condizioni ed esclusioni man mano che osservi i modelli di utilizzo normali e le finestre di manutenzione. Esamina regolarmente gli avvisi attivati e aggiorna regole e baseline per riflettere i cambiamenti nei modelli di utilizzo e nell\u2019infrastruttura.<\/p>\n<h3>4. Estendi la conservazione e aumenta la capacit\u00e0 dei log<\/h3>\n<p>\u00c8 facile dimenticare che le dimensioni predefinite dei registri eventi sono spesso troppo ridotte per le query di indagine.<\/p>\n<p>Per configurare la dimensione predefinita del log, usa il comando <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows-server\/administration\/windows-commands\/wevtutil\" target=\"_blank\" rel=\"noopener\">wevtutil<\/a> in un <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/aprire-un-prompt-powershell-elevato\/\">Prompt dei comandi<\/a> con privilegi elevati. Esegui <strong>wevtutil sl<\/strong> (sl = set-log, modifica la configurazione del log) con il parametro <strong>\/ms<\/strong> (dimensione massima, espressa in byte) per modificare la configurazione di un log specifico (ad esempio, <strong>wevtutil sl &lt;logname&gt; \/ms:&lt;bytes&gt;<\/strong>)<\/p>\n<p>Secondo Microsoft, la dimensione minima del log \u00e8 1048576 byte (1024 KB) e i file di log sono sempre multipli di 64 KB, quindi qualsiasi valore inserito viene arrotondato di conseguenza. Le modifiche hanno effetto immediato e restano attive anche dopo il riavvio.<\/p>\n<p>Il parametro <strong>\/rt:&lt;Retention&gt;<\/strong>, invece, pu\u00f2 essere impostato su true o false (ad esempio,<strong> \/rt:true<\/strong>). Impostandolo su true, il sistema smette di registrare eventi quando i log raggiungono la capacit\u00e0 massima. In questa configurazione i dati devono essere cancellati manualmente.<\/p>\n<p>Scegliendo false, il sistema sovrascrive gli eventi pi\u00f9 vecchi quando necessario.<\/p>\n<p><strong>Nota<\/strong>: se la modalit\u00e0 di conservazione del registro eventi \u00e8 impostata su true e il log raggiunge la dimensione massima, Windows mantiene gli eventi esistenti e scarta i nuovi eventi in arrivo. Per evitare di perdere involontariamente dati importanti di sicurezza o di audit, valuta di aumentare la capacit\u00e0 dei log e di usare le impostazioni di sovrascrittura quando \u00e8 necessaria una registrazione continua.<\/p>\n<h3>5. Correla l\u2019attivit\u00e0 RDP e genera report<\/h3>\n<p>Collega gli eventi RDP raccolti ai dati su utenti, dispositivi e indirizzi IP per trasformare i log grezzi in informazioni utili e in documentazione pronta per l\u2019audit. In questo modo puoi creare un report settimanale che mostri connessioni riuscite, tentativi non riusciti, accessi fuori orario e origini client univoche.<\/p>\n<p>Ecco una guida complementare su <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/automatizzare-il-monitoraggio-dei-log-eventi-di-windows\/\">come automatizzare la registrazione degli eventi<\/a> per diversi ambienti o clienti.<\/p>\n<h2>Strategie di monitoraggio RDP con NinjaOne<\/h2>\n<p>NinjaOne pu\u00f2 colmare le lacune del tuo processo di <a href=\"https:\/\/www.ninjaone.com\/it\/gestione-endpoint\/piattaforma-di-monitoraggio-remoto\/\">monitoraggio RDP<\/a> automatizzando la distribuzione delle policy di audit e la creazione degli avvisi, offrendoti una visibilit\u00e0 affidabile e verificabile su ogni sessione desktop remoto.<\/p>\n<p>La <a href=\"https:\/\/www.ninjaone.com\/it\/script-hub\/\">libreria di script di NinjaOne<\/a> e la gamma di strumenti per la gestione delle policy ti permettono inoltre di gestire centralmente i log RDP con un intervento manuale minimo, garantendo una copertura di sicurezza pi\u00f9 coerente e liberando risorse preziose all\u2019interno del tuo stack IT.<\/p>\n<p><strong>Argomenti correlati:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/best-practice-di-accesso-remoto\/\">Best practice per l\u2019accesso remoto per MSP e professionisti IT<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/docs\/strumenti-di-registrazione-e-dashboard-dei-gestione\/inventario-hardware\/report-sui-dettagli-del-sistema\/\">Visualizzazione dei report sui dettagli di sistema<\/a> [per utenti NinjaOne]<\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/rimuovere-cronologia-connessione-desktop-remoto\/\">Come eliminare la cronologia delle connessioni Desktop remoto in Windows<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/automatizzare-il-monitoraggio-dei-log-eventi-di-windows\/\">Come automatizzare il monitoraggio dei registri eventi di Windows su pi\u00f9 clienti<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/script-hub\/ricerca-dei-log-degli-eventi-powershell\/\">Guida completa all\u2019uso di PowerShell per ricerche efficienti nei registri eventi<\/a> [Script Hub]<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Senza un approccio strutturato al monitoraggio e alla revisione delle sessioni desktop remoto, gli accessi sospetti possono passare inosservati, generando flussi di lavoro di audit laboriosi e lacune nella conformit\u00e0. Questa guida spiega come raccogliere e analizzare i registri eventi di Windows relativi a RDP tramite il Visualizzatore eventi, aiutando i team a individuare attivit\u00e0 [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":742546,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[3025],"tags":[],"class_list":["post-916558","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/916558","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/comments?post=916558"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/916558\/revisions"}],"predecessor-version":[{"id":916559,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/916558\/revisions\/916559"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media\/742546"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media?parent=916558"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/categories?post=916558"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/tags?post=916558"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}