Windows系统中RDP跨机文件拷贝操作的本地日志记录咨询

你好，针对你这个从Machine A（Win10笔记本）发起RDP连接到Machine B（Win11台式机），映射本地驱动器后从B复制文件到A，想在A上找操作记录的问题，我整理了几个Windows系统里可能存在相关痕迹的地方，你可以逐一排查：

• 事件查看器的安全日志：打开事件查看器，定位到「Windows日志 -> 安全」，这里如果之前开启了审核对象访问的策略，会生成事件ID为4663的日志条目，记录对文件对象的访问请求。你可以结合RDP会话的时间范围筛选，同时查看日志里的“对象名称”和“访问掩码”，来匹配从远程B复制到本地A的操作。不过默认情况下这个审核策略可能没开启，所以如果之前没配置过，可能看不到详细记录。
• TerminalServices客户端相关日志：在事件查看器的「应用程序和服务日志 -> Microsoft -> Windows -> TerminalServices-ClientActiveXCore -> Operational」里，会记录RDP客户端的活动，比如本地驱动器映射的建立、会话的连接与断开。虽然不会直接记录文件拷贝，但能帮你确认当时的RDP会话状态和驱动器映射是否成功，缩小排查的时间范围。
• 文件资源管理器历史记录：如果Machine A的文件资源管理器开启了历史记录功能，你可以在「快速访问」的「最近使用的文件」里找到刚复制过来的文件；或者点击资源管理器顶部的「历史记录」标签（需启用），查看对应的操作痕迹。不过这个记录容易被清理或覆盖，时效性比较有限。
• 命令行/PowerShell日志（若使用命令拷贝）：如果你当时是用copy、xcopy或robocopy这类命令行工具完成的拷贝，那「Windows日志 -> Windows PowerShell」或者「应用程序和服务日志 -> Microsoft -> Windows -> CommandProcessor -> Operational」里会记录对应的命令执行细节，能直接看到拷贝的源路径（B上的路径）和目标路径（A本地）。

另外要提醒的是：默认Windows不会自动记录所有图形界面的文件拷贝操作，尤其是通过RDP映射驱动器的跨机拷贝，日志信息会比较零散，需要结合多个日志源交叉验证。如果之前没有提前配置对应的审核策略，可能找不到太详细的操作记录。

备注：内容来源于stack exchange，提问作者ramki