[__sa__nya]

На удаленной машине нашел, но там не очень понятно где что На локальной машине не нашел где искать логи подключений »

- Мне вот это не понятно. Что на удаленной, что на локальной, события смотрятся через "Журнал событий", им можно смотреть хоть локальные события, хоть удаленные, при наличии прав и служб.

Гугл подсказывает нужно искать это Event Viewer -> Applications ans Services Logs -> Microsoft -> Windows -> TerminalServices-LocalSessionManager -> Operational »

- Неверно подсказывает. Проверить подключения к машине по RDP: Applications ans Services Logs -> Microsoft -> Windows ->TerminalServices-RemoteConnectionManager , идете в Operational, фильтруете события по коду 1149, это и ест события когда на машину зашли терминально.

[RomanWAR]

__sa__nya, все события такого вида стерты
можно где-то еще посмотреть?

[__sa__nya]

RomanWAR, я больше способов не знаю. Может другие участники подскажут что.
В инете пишут еще вот такие события, но проверил счас - не работает ( на 1 терминальный вход куча событий с типом входа 7, ни одного с типом входа 10:

Журнал Windows -> Security. Соответственно нас могут интересовать события с EventID – 4624. Обратите внимание на значение LogonType в событии. При входе через терминальную службу RDP — LogonType = 10. Если LogonType = 7, значит выполнено переподключение к уже имеющейся RDP сессии.(успешная аутентификация — An account was successfully logged on)

Еще пишут про

Event Viewer -> Applications ans Services Logs -> Microsoft -> Windows -> TerminalServices-LocalSessionManager -> Operational

События с ID 21
- Но опять же, они не отражают статистику RDP-подключений.