要确认Windows 10电脑被谁、在什么时间通过远程桌面登录过，需查看系统自动生成的安全日志：用事件查看器筛选事件ID 4624且登录类型为10的记录，可获取IP地址、用户名及精确时间；或查TerminalServices-RemoteConnectionManager日志中事件ID 1149，快速定位连接IP与时间；还可用PowerShell命令一键导出最近10次RDP登录信息。
要确认Windows 10电脑被谁、在什么时间通过远程桌面登录过，必须查看系统自动记录的登录事件，这些日志由Windows安全子系统生成并严格按时间戳和用户上下文写入，不可伪造、不可跳过，直接打开就能看到真实连接来源。
用事件查看器查RDP登录记录（推荐）
这是最权威、最完整的方案，能同时看到IP地址、用户名、登录时间、登录类型，且无需第三方工具。
第一步：按 Win + R 打开运行框，输入 eventvwr.msc → 回车启动事件查看器。
第二步：在左侧树形菜单中，依次展开 Windows 日志 → 安全。
第三步：在右侧空白处右键 → 选择“筛选当前日志…”。
第四步：在“事件ID”框中输入 4624，在“包括/排除事件”下方勾选“仅显示匹配的事件”，点击确定。
第五步：列表刷新后，逐条查看“任务类别”为“登录”的事件，双击任一事件 → 切换到“详细信息”选项卡 → 展开“事件数据” → 找到 Login Type 字段值为 10 的条目，这代表远程桌面（RDP）登录；再看 Source Network Address 字段，就是对方的IP地址；Account Name 是登录用户名；顶部“日期和时间”即为精确登录时刻。注意：若该字段为空或显示“-”，说明对方使用了空会话或匿名登录尝试，需警惕异常行为。
用专用RDP日志快速定位连接动作
这个路径专为远程桌面服务设计，只记录RDP相关操作，干扰少、字段更聚焦，适合只想确认“有没有人连进来过”的场景。
方法一：在事件查看器左侧导航栏中，依次展开 应用程序和服务日志 → Microsoft → Windows → TerminalServices-RemoteConnectionManager → Operational。
方法二：右键点击 Operational → 选择“筛选当前日志…” → 在“事件ID”框中输入 1149 → 点击确定。
筛选结果中每一条都对应一次成功的RDP连接建立，双击查看详情，EventData 下的 ClientAddress 就是远程客户端IP，TimeCreated 即连接发生时间。这一步比查安全日志更快，但不显示用户名，只确认“谁（IP）在何时连上了”。
用PowerShell一键导出最近10次RDP登录
如果你需要把记录复制给同事、存档或做进一步分析，命令行方式效率最高，还能自动过滤掉无关事件。
以管理员身份运行PowerShell（右键开始菜单 → Windows PowerShell（管理员））。
输入以下命令并回车：
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624} | Where-Object {$_.Properties[8].Value -eq 10} | Select-Object TimeCreated, @{Name='User';Expression={$_.Properties[5].Value}}, @{Name='IP';Expression={$_.Properties[18].Value}} -First 10
输出结果直接列出最近10次RDP登录的时间、用户名、IP地址，字段对齐清晰。注意：必须用管理员权限运行，否则无法读取安全日志；若返回空，说明未启用审核策略或无人成功登录过RDP。
