リモートデスクトップに接続しているPC名を取得したい

Question

前提・実現したいこと

リモートデスクトップに接続しているPC名を取得したいです。
だいぶ昔から調べたいなと思ってて実現できずにいます。

リモートから調べれるといいのですが
RPCを許可しないといけない？のであればそれは避けたいので
その対象PCのタスクでログオン時にプログラムを実行させて
共有フォルダに結果を出力でいいと思ってます。
その為、言語はvbsに限らず.netでも良いです。
c++は私は苦手なので避けたいところです。

また、別にプログラムで実現できなくても
どうにかして確認するすべがあればよいと思っています。

発生している問題・エラーメッセージ

Microsoft WMI Scripting V1.2 Library
を使ってログを調べるプログラムを書いてるつもりだけどセキュリティログが取得できない

試したこと・現状のソースコード

色々試行錯誤、切り貼りしてる状況なので
汚いコードですが、現状こんな感じです。

Dim Locator 
Dim Service 
Dim MesStr
Dim EveSet 
Dim Eve 

Const CONVERT_TO_LOCAL_TIME = True
Dim tNow
tNow = Now
Dim dtmStartDate
Dim dtmEndDate
Set dtmStartDate = CreateObject("WbemScripting.SWbemDateTime")
Set dtmEndDate = CreateObject("WbemScripting.SWbemDateTime")

dtmStartDate.SetVarDate Left(tNow, 10), CONVERT_TO_LOCAL_TIME
dtmEndDate.SetVarDate Left(tNow + 1, 10), CONVERT_TO_LOCAL_TIME
        

strComputer="."
Set Service = GetObject("winmgmts:" _
    & "{impersonationLevel=impersonate}!\" & strComputer & "\root\cimv2")


Set EveSet = Service.ExecQuery("Select * From Win32_NTLogEvent Where Logfile='Security'" & _
    " And TimeWritten >= '" & dtmStartDate & "' and TimeWritten < '" & dtmEndDate & "'")


Dim tempDate
Set tempDate = CreateObject("WbemScripting.SWbemDateTime")
Dim tDate
For Each Eve In EveSet
	    tempDate.Value = Eve.TimeWritten
	    tDate = tempDate.GetVarDate(True)
	    MesStr = MesStr & Eve.EventCode & ": " & Eve.Message & ":＠" & tDate

'	End If
Next

Dim outStream
Set outStream =CreateObject("ADODB.Stream")
outStream.type = 2
outStream.charset = "UTF-8" '出力ファイルの文字コード設定
outStream.open 
outStream.WriteText MesStr, 1

outStream.SaveToFile "C:\work\log.txt", 2
outStream.Close

Set outStream=Nothing
Set EveSet = Nothing
Set Eve = Nothing
Set Locator = Nothing
Set Service = Nothing

Logfile='Security'を外すと何か結果は取得できます。

(追記20210422)

Dim Locator 'As WbemScripting.SWbemLocator
Dim Service 'As WbemScripting.SWbemServices
Dim MesStr
Dim EveSet 'As WbemScripting.SWbemObjectSet
Dim Eve 'As WbemScripting.SWbemObject
Dim Eveex 'As WbemScripting.SWbemObjectEx

Const CONVERT_TO_LOCAL_TIME = True

Dim tNow
tNow = Now
Dim dtmStartDate
Dim dtmEndDate
Set dtmStartDate = CreateObject("WbemScripting.SWbemDateTime")
Set dtmEndDate = CreateObject("WbemScripting.SWbemDateTime")

dtmStartDate.SetVarDate Left(tNow, 10), CONVERT_TO_LOCAL_TIME
dtmEndDate.SetVarDate Left(tNow + 1, 10), CONVERT_TO_LOCAL_TIME

Dim tRegExp1 'As RegExp
Set tRegExp1 = CreateObject("VBScript.RegExp")
Dim tRegExp2 'As RegExp
Set tRegExp2 = CreateObject("VBScript.RegExp")

tRegExp1.Global = True
tRegExp1.Pattern = "ログオン タイプ:\s*10\r"
tRegExp2.Global = True
tRegExp2.Pattern = "ソース ネットワーク アドレス:\s*(.*)\r"

strComputer = "."
Set oService = GetObject("winmgmts:" _
    & "{(Security)}!\" & strComputer & "\root\cimv2")


Set EveSet = oService.ExecQuery("Select * From Win32_NTLogEvent Where Logfile='Security'" & _
    " And TimeWritten >= '" & dtmStartDate & "' and TimeWritten < '" & dtmEndDate & "'")


Dim tempDate
Set tempDate = CreateObject("WbemScripting.SWbemDateTime")
Dim tDate

Dim tResult 'As VBScript_RegExp_55.MatchCollection
Dim tMatch 'As VBScript_RegExp_55.Match

For Each Eve In EveSet
    If Eve.EventCode = 4624 Then
        If tRegExp1.test(Eve.Message) Then
            tempDate.Value = Eve.TimeWritten
            tDate = tempDate.GetVarDate(True)
            Set tResult = tRegExp2.Execute(Eve.Message)
            Set tMatch = tResult.Item(0)
            MesStr = MesStr & tMatch.SubMatches(0) & ":" & tDate & vbCrLf
        End If
    End If
Next

Dim outStream
Set outStream = CreateObject("ADODB.Stream")
outStream.Type = 2
outStream.Charset = "UTF-8" '出力ファイルの文字コード設定
outStream.Open
outStream.WriteText MesStr, 1

outStream.SaveToFile "C:\work\log.txt", 2
outStream.Close

Set outStream = Nothing
Set EveSet = Nothing
Set Eve = Nothing
Set oLocator = Nothing
Set oService = Nothing

とすることで、セキュリティログは取得できました。

ただ、上述のコードでは「ソース ネットワーク アドレス」が
VBA、vb.netで実行するときちんと取れるのだけど、vbsだと取れないです。

また、端末によってセキュリティログが取得出来る所と出来ない所がありました。
この端末によってというのは、UACを完全に無効にしてるか否かでした。
そして管理者として実行すればUACを完全に無効にしなくても取得出来ました。

という所なのですが、今PC(Windows8.1)とVM間でリモートデスクトップへの接続でのログを確認していると
ログオンタイプ:10がない。代わりにログインタイプ:3と7でソース ネットワーク アドレスが設定されていました。
デスクトップのWindows8.1からノートPCのWindows10であっても7は設定されていました。
VMと言うより、windows8.1の特徴なのでしょうか。

Windowsのログオン成功イベントを監査【連載：ここに注目！セキュリティログをご紹介】

ログを出力する設定は
ローカルセキュリティ ポリシー＞ローカルポリシー＞監査ポリシー＞アカウント ログオン イベントの監査
で設定しています。

【残っている問題】
・windows8.1からリモートデスクトップ接続した場合、ログオンタイプ:10がない
どうしてログインタイプ:10がないのか。という情報があればお待ちしております。
・VBSでは、messageの内容文字コードが違う？のか理由はわかりませんが、内容を上記コードで解析できない。
こちらは謎です。情報あればお待ちしております。

補足情報（FW/ツールのバージョンなど）

windows10

Answer 1

今回行ったリモートデスクトップへの接続PCの情報出力をする仕方について以下に記します。

（１）リモートデスクトップの接続を許可する。仕方は割愛

（２）リモートデスクトップへの接続の情報をWindows ログ に出力する設定

コントロールパネル＞管理ツール＞ローカル セキュリティ ポリシー
＞ローカルポリシー＞監査ポリシー＞アカウント ログオン イベントの監査
で、次の場合に監査する「成功」にチェックをつける

（３）セキュリティーログを取得しファイルに出力するプログラムを作る

Imports System.Net
Imports VBScript_RegExp_55

Module Module1

    Sub Main()
        Dim tPath As String
        Dim cmds As String() = System.Environment.GetCommandLineArgs()
        'コマンドライン引数を列挙する
        If cmds.Length > 1 Then
            tPath = cmds.GetValue(1)
        Else
            tPath = System.IO.Path.Combine(My.Application.Info.DirectoryPath, "connect.txt")
        End If


        Dim tService As WbemScripting.SWbemServices
        Dim tMesStr As String
        Dim tEveSet As WbemScripting.SWbemObjectSet
        Dim tEve As WbemScripting.SWbemObject

        tMesStr = ""

        Const CONVERT_TO_LOCAL_TIME = True
        Dim tNow As Date
        tNow = Now
        Dim tDtmStartDate As WbemScripting.SWbemDateTime
        Dim tDtmEndDate As WbemScripting.SWbemDateTime
        tDtmStartDate = CreateObject("WbemScripting.SWbemDateTime")
        tDtmEndDate = CreateObject("WbemScripting.SWbemDateTime")

        tDtmStartDate.SetVarDate(DateAdd(DateInterval.Minute, -10, tNow), CONVERT_TO_LOCAL_TIME)
        tDtmEndDate.SetVarDate(CDate(Strings.Format(DateAdd(DateInterval.Day, 1, tNow), "yyyy/MM/dd")), CONVERT_TO_LOCAL_TIME)

        Dim tRegExp1 As RegExp
        tRegExp1 = CreateObject("VBScript.RegExp")
        Dim tRegExp2 As RegExp
        tRegExp2 = CreateObject("VBScript.RegExp")

        tRegExp1.Global = True
        'tRegExp1.Pattern = "ログオン タイプ:\s*10\r"
        tRegExp1.Pattern = "ログオン タイプ:\s*(.*)\r"

        tRegExp2.Global = True
        tRegExp2.Pattern = "ソース ネットワーク アドレス:\s*(.*)\r"

        Dim tComputer
        tComputer = "."
        tService = GetObject("winmgmts:{(Security)}!\" & tComputer & "\root\cimv2")

        tEveSet = tService.ExecQuery("Select * From Win32_NTLogEvent Where Logfile='Security'" &
            " And TimeWritten >= '" & tDtmStartDate.Value & "' and TimeWritten < '" & tDtmEndDate.Value & "'")

        Dim tTempDate
        tTempDate = CreateObject("WbemScripting.SWbemDateTime")
        Dim tDate


        Dim tResult1 As VBScript_RegExp_55.MatchCollection
        Dim tMatch1 As VBScript_RegExp_55.Match
        Dim tResult2 As VBScript_RegExp_55.MatchCollection
        Dim tMatch2 As VBScript_RegExp_55.Match

        For Each tEve In tEveSet
            If tEve.EventCode = 4624 Then
                If tRegExp1.Test(tEve.Message) Then
                    tResult1 = tRegExp1.Execute(tEve.Message)
                    tMatch1 = tResult1.Item(0)
                    tTempDate.Value = tEve.TimeWritten
                    tDate = tTempDate.GetVarDate(True)
                    tResult2 = tRegExp2.Execute(tEve.Message)
                    tMatch2 = tResult2.Item(0)
                    If tMatch2.SubMatches(0) <> "-" Then
                        tMesStr = tMesStr & tMatch1.SubMatches(0) & vbTab & tMatch2.SubMatches(0) & vbTab & GetHostNameFromIP(tMatch2.SubMatches(0)) & vbTab & tDate & vbCrLf
                    End If
                End If
            End If
        Next

        Dim tSw As New System.IO.StreamWriter(tPath)
        tSw.Write(tMesStr)
        tSw.Close()

        tSw = Nothing
        tEveSet = Nothing
        tEve = Nothing
        tService = Nothing

    End Sub

    Private Function GetHostNameFromIP(ByVal IPAddress As String) As String

        Dim tIPHstEnt As IPHostEntry
        Dim tServer As String

        Try
            tIPHstEnt = Dns.GetHostEntry(IPAddress)
            tServer = tIPHstEnt.HostName
        Catch ex As Exception
            tServer = ""
        End Try

        Return tServer

    End Function


End Module

（４）プログラムをタスクに登録

コントロールパネル＞管理ツール＞タスク スケジューラ
で、タスクの作成、
全般で最上位の特権で実行する
トリガーがユーザーセッションへの接続時、遅延時間15秒
操作はプログラムの開始で上記のプログラム、場合によっては出力パスを指定

出力パスをリモートPCから確認できる場所にしておけばリモートから確認できると思います。

以上となります。

あと、リモートPCから直接プログラムで確認をするやり方は…
したくないと言ってましたがやり方をしらない。というのもあります。
PCの設定を含めやり方を知ってる人いたら情報くれると嬉しいです。

気づいてしまいました。ローカルログイン時の情報が出力されていないのは不十分じゃないか！と
誰がログインして使ってるのかを、いちいち声をかけて調べないといけないのを避けるためなのだから
ローカルログインしているかもわかった方が良いと思いました。

とりあえず、質問自体は解決ですが
プログラムとタスクの設定は、改善が必要です！

Answer 2

(Security)は私も加えたんですけど、Logfile='Security'が取れなかったのはvbsだからかもですね。
なぜvbsでダメだったり端末によって取得できない場合があるのかわかりませんが、もしかしたら下記の設定が関係するかもしれません。

In order to successfully execute scripts that use WMI, the computer where WMI queries are addressed (the computer where the script is executed or a remote computer) should meet the following requirements:

https://support.smartbear.com/testcomplete/docs/scripting/working-with/wmi-objects.html#Permissions

でも、これを読んで私もいろいろやってみたんですけど、まだ成功していません…

なので違うかもですが、ご参考までに。

Comments

[itagagaki]

あ、私がこれ書いてる間に解決しちゃいましたか。

[xail2222]

いえ、情報ありがとうございます。
wmiのconfig managerが有ることは知りませんでした。
またvbsで取得出来ない謎も残っています
ただ目的は達成出来た感じです

[xail2222]

コメント追加します。
vbsでもログは取得できました。ただ、中身の解析が出来なかったのです。

itagagakiさんがvbsで取得できなかったのは
UACを完全に無効にしていない場合、管理者権限で実行しないと取得できないので
そこの問題だったのかもしれないですね。

[itagagaki]

なるほど、情報ありがとうございます。

Answer 3

Logfile='System'やLogfile='Application'なら取れましたが、Logfile='Security'が取れないですね。どうしてでしょうね？

（追記）
teratailのルールを理解していませんでした。
問題解決に向けての情報交換のつもりでしたが、どうやらteratailの「回答」というのは、そういう使い方は不適切なんですね。
失礼しました。

Comments

[xail2222]

情報ありがとうございます。セキュリティログを取るのを悩んでたのですが、とりあえず取れた気がします。
後は何処から接続しているかだと思います

イベントビューアーからは見れるんですよね｡｡｡

[xail2222]

>問題解決に向けての情報交換のつもりでしたが、どうやらteratailの「回答」というのは、そういう使い方は不適切なんですね。
どういう事ですか？
私は低評価していないですよ？
今回は、私が先々色々見付けれたので私の方で回答や質問に追記を書かせて頂きましたが、お互いに調べた結果を書いていって解決に導くと言うのも良いと思いますよ。
反応をくれないより全然いいと思います

この回答も、質問の修正依頼でもないですし、回答に書いても良いんじゃないかと思います
securityは取得できない。が回答になった可能性もあったのですし

[itagagaki]

はい、xail2222さんが低評価されたとは思っていません :-)
どなたが低評価されたのかわからないシステムですが、その方に向けて追記しました。

問題の解決の仕方については、私もそういう観点だったのですが、低評価されたことで、teratailはそういう使い方はダメ（つまり確実に回答になっていないことを「回答」に書いてはダメ）なのだと知りました。
正直納得はしかねるのですがルールなら仕方がありませんね…
まあ納得はしていないのですが、これまた余計なことなのかもしれませんが、低評価されたことへのリアクションとして反省の弁を書き残させていただいた次第です。もしそれが気を悪くされたならすみません。

[xail2222]

低評価した人のポリシーでは『回答になっていないことを「回答」に書いてはダメ』と言うのはあるかもしれないですね。ですが、それはその低評価した人のポリシーです。

私も私なりのポリシーを持って参加していますが、一部の人のポリシーとはかみ合わない。と感じることがあります。
ですが、かみ合わない点が相手のポリシーに合せても良いと考える程度の点ではない場合もあります。
その場合は、私は自分のポリシーを大切にしているつもりです。
まぁ。合わせてもいい点なら合わせますけどね。

＞正直納得はしかねるのですがルールなら仕方がありませんね…

低評価した人の中にはあるルールかもしれませんが、どこまでteratailの中で共有されているルールなのでしょうか。また、運営側から提示されているルールなのでしょうか。
私は投稿する立場としての参加はまだ浅いので、間違ったとらえ方かもしれませんが。
※以前は、そんなに見てもいませんでした。

＞低評価されたことへのリアクションとして反省の弁を書き残させていただいた次第です。
＞もしそれが気を悪くされたならすみません。

追記の理由については、了解しました。解説ありがとうございます。
私は気を悪くしていませんが、気を悪くする人はもしかしたら可能性としてはいるかもしれないですね。

ですが、低評価の理由も、気を悪くしているかもしれない。というのも
推測でしかありません、直接言明されているわけでもありません。
ですので、あまり気にしない方が良いと思いますよ。

と私は思うのですが、itagagakiさんは気にしたいのかもしれないですね。
ま。私がこういう風に私の見解を述べるのも、私の自分勝手な感覚からです。

色々な人が居てこそ楽しいと私は感じているので、自分のポリシーは大切にしてほしいな。と感じました。
楽しむ場ではないのかもしれないですが、私は質問も回答もコメントも楽しみを感じるからこそ、参加しているので、これを運営側から否定されると寂しいですね。

[itagagaki]

> 低評価した人の中にはあるルールかもしれませんが、どこまでteratailの中で共有されているルールなのでしょうか。また、運営側から提示されているルールなのでしょうか。

https://teratail.com/help

低評価の理由は書いてくれていなかったので、私は自分で調べて、ここに、こう書いているのを見つけました。

| 回答の評価基準は下記のように定めています。
|
| 低評価(-)がつく回答
| ・間違っている回答
| ・質問の回答になっていない投稿
| ・スパムや攻撃的な表現など不快な投稿

この評価システムは、問題をずばっと解決する回答ほど上位に表示するための仕組みということで、それもまあ理解はできたのですが、せっかく問題解決に向けて書いたことに対してまで低評価をされると、やっぱり人間ですので、否定されたように感じてしまって、正直面白くないというのはありましたね。

私はteratailに本格的に参加してまだ2日目で、ちょっと独特な感じにびっくりしちゃいました。
このシステムは、おっしゃるとおり私も寂しいと思いますが、気にしないようにします。
ありがとうございます。