скрипт, наглядно выводящий форматированные время, IP-адреса и имена хостов, с которых неудачно пытались подключиться к Windows 2003 RDP-серверу согласно виндовому журналу событий. Для отслеживания таких попыток, необходимо включить аудит отказов во входе в систему для локальной политики аудита в параметрах безопасности (делается через оснастку secpol.msc, например). Скрипт будет полезен для открытых кишками наружу серверов терминалов.

В скрипте сразу предусмотрена возможность не выводить определенные адреса/имена хостов, или целые «диапазоны» (сравниваются строки а не маски).

'Event code 529
'кодировка ISO 8859-2
'Event code 529
'
'(0)  Сбой входа в систему:
'(1)  Причина:	неизвестное имя пользователя или неверный пароль
'(2)  Пользователь:	user
'(3)  Домен:		Domain
'(4)  Тип входа:	7
'(5)  Процесс входа:	User32  
'(6)  Пакет проверки:	Negotiate
'(7)  Рабочая станция:	workstation
'(8)  Имя вызывающего пользователя:	user$
'(9)  Домен вызывающего:	Domain
'(10) Код входа вызывающего:	(0x0,0x3E7)
'(11) Код процесса вызывающего:	2804
'(12) Промежуточные службы:	-
'(13) Адрес сети источника: 127.0.0.1
'(14) Порт источника: 123456

Dim ArrayOfValues(14)

Dim ArrayOfIPExclusions(2)
ArrayOfIPExclusions(0) = "192.168.0."
ArrayOfIPExclusions(1) = "10.0."
ArrayOfIPExclusions(2) = "10.10.10."

Dim ArrayOfHOSTExclusions(0)
ArrayOfHOSTExclusions(0) = "admin.max.org.ua"

Set HOSTSDictionary = CreateObject("Scripting.Dictionary")

strComputer = "."
set objShell = createobject("wscript.shell")
Set objWMIService = GetObject("winmgmts:" _
    & "{impersonationLevel=impersonate}!\\" & strComputer & "\root\cimv2")

Set dtmStartDate = CreateObject("WbemScripting.SWbemDateTime")
Set dtmEndDate = CreateObject("WbemScripting.SWbemDateTime")

DateStart = Now() - 120
DateStop = Now()
dtmStartDate.SetVarDate DateStart, True
dtmEndDate.SetVarDate DateStop, True

Set colLoggedEvents = objWMIService.ExecQuery _
    ("Select * from Win32_NTLogEvent Where Logfile = 'Security' AND EventCode = '529' AND EventType = 5 AND TimeWritten >= '" _
    & dtmStartDate & "' AND TimeWritten < '" & dtmEndDate & "'")

Set objRegEx = CreateObject("VBScript.RegExp")
objRegEx.Global = True
objRegEx.Pattern = "[0-9]"

endOfString = chr(13) & chr(10)

For Each objEvent in colLoggedEvents

    objDay   = Mid(objEvent.TimeWritten, 7, 2)
    objMonth = Mid(objEvent.TimeWritten, 5, 2) 
    objYear  = Left(objEvent.TimeWritten, 4)
    
    'костыль, зато не сбивает сортировку
    ''отбираем события только за последние 120 дней
    'if DateDiff("s", Now() - 120, DateSerial(objYear, objMonth, objDay)) < 0 then
    ''  exit for
    'end if 

    'Wscript.Echo "Category: " & objEvent.Category
    'Wscript.Echo "Computer Name: " & objEvent.ComputerName
    'Wscript.Echo "Event Code: " & objEvent.EventCode
    
    'Wscript.Echo "Message: " & objEvent.Message
    currentValue = 0

    ArrayOfStrings = Split(objEvent.Message, endOfString)
    
    For Each row in ArrayOfStrings
      
      if row <> "" then
      
        SplittedRow = Split(row, ":")
        ArrayOfValues(currentValue) = Trim(Replace(SplittedRow(1), Chr(9), ""))
        currentValue = currentValue + 1
      
      end if

    Next
    
    IPExistsInExclusions = 0
    IP = ArrayOfValues(13) 
    
    'сравним со списком IP адресов, которые исключаем из вывода скрипта
    for each row in ArrayOfIPExclusions
    
      if InStr(IP, row) > 0 then
      
        IPExistsInExclusions = 1
        exit for
      
      end if
    
    next

    if IPExistsInExclusions = 0 then
      
      HOSTExistsInExclusions = 0
      
      'если IP содержит лишние знаки имя хоста узнавать не будем
      strhost = " "
      if objRegEx.Replace(IP, "") = "..." then 
      
        'проверим, не получали ли мы имя хоста по этому IP раньше
        if HOSTSDictionary.Exists(IP) = false then
      
          'http://social.technet.microsoft.com/Forums/en-US/ITCG/thread/f21292fd-e9d7-4a57-a14e-31461aeab905/
          strParams = "%comspec% /c nslookup " & IP
          Set objExecObj = objShell.exec(strParams)
      
          do while not objExecObj.StdOut.AtEndOfStream
            strText = objExecObj.StdOut.Readline()
            if instr(strText, "Server") then 
              strServer = trim(replace(strText,"Server:",""))
            elseif instr (strText, "Name") Then
              strhost = trim(replace(strText,"Name:",""))
            end if
          loop

          HOSTSDictionary.Add IP, strhost
        
        'если получали - просто подставим это имя хоста
        else HOSTSDictionary.Exists(IP)
      
          strhost = HOSTSDictionary.Item(IP)
      
        end if

        'сравним со списком хостов, которые исключаем из вывода скрипта
        for each row in ArrayOfHOSTExclusions
      
         if InStr(LCase(strhost), row) > 0 then
      
            HOSTExistsInExclusions = 1
            exit for
      
          end if
      
        next

      end if
     
      if HOSTExistsInExclusions = 0 then
      
        IP = IP & Left("               ", 15 - Len(IP))
        strhost = strhost & Left("                                       ", 40 - Len(strhost))
        Wscript.Echo objDay & "." & objMonth & "." & objYear & " " & Mid(objEvent.TimeWritten, 9, 2) & ":" & Mid(objEvent.TimeWritten, 11, 2) & ":" & Mid(objEvent.TimeWritten, 13, 2) & "; IP: " & IP & " (" & strhost & "); user: " & ArrayOfValues(2)
      
      end if
      
    end if

    'Wscript.Echo "Record Number: " & objEvent.RecordNumber
    'Wscript.Echo "Source Name: " & objEvent.SourceName
    'Wscript.Echo "Time Written: " & objEvent.TimeWritten
    'Wscript.Echo "Event Type: " & objEvent.Type
    'Wscript.Echo "User: " & objEvent.User
    
Next

скачать: rdp.vbs (4329 Загрузок)

результатом выполнения такого скрипта из командной строки «cscript rdp.vbs > rdp.txt», будет файл, примерно такого содержания:

01.12.2012 13:53:25; IP: xx.xx.xx.xx     (xx.xx.xx.xx.internet.net              ); user: Администратор
01.12.2012 12:45:30; IP: xx.xx.xx.xx     (xx.xx.xx.xx.internet.net              ); user: Администратор
23.11.2012 18:06:23; IP: xx.xx.xx.xx     (xx-xx-xx-xx-gprs.telefona.net     ); user: user2
20.11.2012 14:25:25; IP: xx.xx.xx.xx     (xx-xx-xx-xx-gprs.telefona.net     ); user: user1
19.11.2012 17:48:20; IP: xx.xx.xx.xx     (server17.max.org.ua                  ); user: Администратор

подчеркну, что скрипт необходимо сохранять в кодировке ISO 8859-2, или же скачать готовый файл выше.

кстати, хорошей идеей было бы прикручивание утилиты Whois от Марка Руссиновича, которая отображала бы данные по IP адресу в той же строке. Велкам в комментарии 🙂

UPD 05.12.12. Прикрутил получение имени хоста по IP если оно доступно, а также возможность исключить из вывода определенные имена хостов. Текст скрипта а также файл обновлены.

UPD 13.09.13. Добавил в запрос выборку в определенном интервале дат. В примере выбираются события за последние 120 дней. Оптимизировал процесс получения имени хоста — если оно уже было получено для IP-адреса то повторно запрашиваться не будет, а будет взято из соответствия. Также предусмотрел ситуацию, когда в поле IP события может попасть вовсе не IP-адрес. Также, из-за отбора в диапазоне дат данные в результат выводятся в возрастающем порядке, т.е. последние события будут в конце файла, что не очень удобно. Добавил комментарии в код.