RDP sunucu bağlantı geçmişi: PowerShell ile kim, ne zaman ve hangi IP'den bağlandı raporu

# Üç günlüğün mevcut boyutunu, kayıt sayısını ve en eski kaydın tarihini gösterir
'Security',
'Microsoft-Windows-TerminalServices-LocalSessionManager/Operational',
'Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational' | ForEach-Object {
    $log   = Get-WinEvent -ListLog $_
    $eski  = Get-WinEvent -LogName $_ -MaxEvents 1 -Oldest -ErrorAction SilentlyContinue
    [pscustomobject]@{
        Gunluk      = $_.Split('/')[0] -replace 'Microsoft-Windows-TerminalServices-', ''
        BoyutMB     = [math]::Round($log.MaximumSizeInBytes / 1MB)
        KayitSayisi = $log.RecordCount
        EnEskiKayit = if ($eski) { $eski.TimeCreated } else { 'yok' }
    }
} | Format-Table -AutoSize

#Requires -RunAsAdministrator
# RDP izlerini tutan günlükleri büyütür ve oturum denetimini açar.
# Windows Server 2016/2019/2022/2025, Windows PowerShell 5.1 için hazırlandı.
# Geri alma: eski-ayarlar.csv'deki boyutları geri yazın, denetim için
#   auditpol /restore /file:C:\RdpRapor\auditpol-yedek.csv

$Klasor = 'C:\RdpRapor'
# Hedef boyutlar (MB). Disk alanınıza göre değiştirin.
$HedefMB = @{
    'Security' = 1024
    'Microsoft-Windows-TerminalServices-LocalSessionManager/Operational'    = 256
    'Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational' = 256
}

New-Item -ItemType Directory -Path $Klasor -Force | Out-Null
$yedek = Join-Path $Klasor 'eski-ayarlar.csv'

foreach ($ad in $HedefMB.Keys) {
    $log = Get-WinEvent -ListLog $ad

    # Eski değeri yalnız ilk çalıştırmada kaydet
    $kayitliMi = (Test-Path $yedek) -and (Import-Csv $yedek | Where-Object { $_.LogName -eq $ad })
    if (-not $kayitliMi) {
        [pscustomobject]@{ LogName = $ad; MaximumSizeInBytes = $log.MaximumSizeInBytes } |
            Export-Csv $yedek -Append -NoTypeInformation -Encoding UTF8
    }

    $hedef = [int64]$HedefMB[$ad] * 1MB
    $degisti = $false
    if ($log.MaximumSizeInBytes -lt $hedef) { $log.MaximumSizeInBytes = $hedef; $degisti = $true }
    if (-not $log.IsEnabled)               { $log.IsEnabled = $true;            $degisti = $true }
    if ($degisti) { $log.SaveChanges(); Write-Host "Güncellendi: $ad" }
    else          { Write-Host "Değişiklik gerekmedi: $ad" }
}

# Denetim ilkesini yedekle (yalnız ilk kez)
$auditYedek = Join-Path $Klasor 'auditpol-yedek.csv'
if (-not (Test-Path $auditYedek)) { auditpol /backup /file:$auditYedek | Out-Null }

# Logon, Logoff, Other Logon/Logoff Events (dil bağımsız GUID'ler)
$altKategoriler = '{0CCE9215-69AE-11D9-BED3-505055000000}',
                  '{0CCE9216-69AE-11D9-BED3-505055000000}',
                  '{0CCE921C-69AE-11D9-BED3-505055000000}'
foreach ($g in $altKategoriler) {
    auditpol /set /subcategory:$g /success:enable /failure:enable | Out-Null
}

# Doğrulama
auditpol /get /subcategory:($altKategoriler -join ',')

# Son 50 uzak etkileşimli oturum açma (4624, LogonType 10)
$xpath = "*[System[(EventID=4624)]] and *[EventData[Data[@Name='LogonType']='10']]"
Get-WinEvent -LogName Security -FilterXPath $xpath -MaxEvents 50 -ErrorAction SilentlyContinue |
    ForEach-Object {
        $alan = @{}
        ([xml]$_.ToXml()).Event.EventData.Data | ForEach-Object { $alan[$_.Name] = $_.'#text' }
        [pscustomobject]@{
            Zaman     = $_.TimeCreated
            Kullanici = "$($alan.TargetDomainName)\$($alan.TargetUserName)"
            KaynakIP  = $alan.IpAddress
            LogonId   = $alan.TargetLogonId
        }
    } | Format-Table -AutoSize

#Requires -RunAsAdministrator
# RDP bağlantı geçmişi raporu: kim, ne zaman, hangi IP'den, ne kadar süre.
# Windows Server 2016/2019/2022/2025, Windows PowerShell 5.1 için hazırlandı.
# Yalnız okuma yapar; rapor dosyalarını CiktiKlasoru altına yazar.
[CmdletBinding()]
param(
    [int]$Gun = 7,
    [string]$CiktiKlasoru = 'C:\RdpRapor\Raporlar',
    # Bilinen ağlar: yerel ağlar + ofis/VPN çıkışınız (ORNEK: 198.51.100.0/24)
    [string[]]$IzinliAglar = @('10.0.0.0/8','172.16.0.0/12','192.168.0.0/16','198.51.100.0/24'),
    [int]$MesaiBaslangic = 8,    # 08:00 öncesi mesai dışı
    [int]$MesaiBitis = 19,       # 19:00 ve sonrası mesai dışı
    [switch]$EpostaGonder,
    [string]$SmtpSunucu = 'smtp.example.com',
    [int]$SmtpPort = 587,
    [string]$Gonderen = 'rapor@example.com',
    [string[]]$Alicilar = @('bilgiislem@example.com'),
    [string]$KimlikDosyasi = 'C:\RdpRapor\smtp-kimlik.xml'
)

$ErrorActionPreference = 'Stop'
$baslangic = (Get-Date).Date.AddDays(-$Gun)
New-Item -ItemType Directory -Path $CiktiKlasoru -Force | Out-Null

# --- Yardımcı: IPv4 adresi verilen CIDR bloğunda mı? ---
function Test-IPv4InCidr {
    param([string]$Ip, [string]$Cidr)
    $ipObj = $null
    if (-not [System.Net.IPAddress]::TryParse($Ip, [ref]$ipObj)) { return $false }
    if ($ipObj.AddressFamily -ne 'InterNetwork') { return $false }
    $ag, $bit = $Cidr.Split('/')
    $bit = [int]$bit
    if ($bit -eq 0) { return $true }
    $ipB = $ipObj.GetAddressBytes(); [Array]::Reverse($ipB)
    $agB = ([System.Net.IPAddress]::Parse($ag)).GetAddressBytes(); [Array]::Reverse($agB)
    $maske = [uint32]([math]::Pow(2, 32) - [math]::Pow(2, 32 - $bit))
    return (([BitConverter]::ToUInt32($ipB, 0) -band $maske) -eq ([BitConverter]::ToUInt32($agB, 0) -band $maske))
}

function Get-IpDurumu {
    param([string]$Ip)
    if ([string]::IsNullOrWhiteSpace($Ip) -or $Ip -eq 'LOCAL') { return 'Yerel konsol' }
    foreach ($c in $IzinliAglar) { if (Test-IPv4InCidr -Ip $Ip -Cidr $c) { return 'İzinli ağ' } }
    return 'Bilinmeyen'
}

# --- 1) Oturum olaylarını oku (21,23,24,25) ve eskiden yeniye sırala ---
$lsm = 'Microsoft-Windows-TerminalServices-LocalSessionManager/Operational'
$olaylar = @(Get-WinEvent -FilterHashtable @{ LogName = $lsm; Id = 21,23,24,25; StartTime = $baslangic } `
            -ErrorAction SilentlyContinue | Sort-Object TimeCreated)

$acik     = @{}   # OturumNo -> henüz kapanmamış bağlantı
$kayitlar = New-Object System.Collections.Generic.List[object]

foreach ($e in $olaylar) {
    $d   = ([xml]$e.ToXml()).Event.UserData.EventXML   # dil bağımsız alanlar
    $sid = [string]$d.SessionID

    if ($e.Id -eq 21 -or $e.Id -eq 25) {
        # Aynı oturum numarasında kapanmamış kayıt kaldıysa onu bitişsiz kapat
        if ($acik.ContainsKey($sid)) { $kayitlar.Add($acik[$sid]); $acik.Remove($sid) }
        $tur = 'Yeni oturum'
        if ($e.Id -eq 25) { $tur = 'Yeniden bağlanma' }
        $acik[$sid] = [pscustomobject]@{
            Kullanici = [string]$d.User
            OturumNo  = $sid
            KaynakIP  = [string]$d.Address
            Tur       = $tur
            Baslangic = $e.TimeCreated
            Bitis     = $null
            BitisTuru = 'Kayıt yok'
        }
    }
    elseif ($acik.ContainsKey($sid)) {
        $acik[$sid].Bitis = $e.TimeCreated
        if ($e.Id -eq 24) { $acik[$sid].BitisTuru = 'Bağlantı koptu' }
        else              { $acik[$sid].BitisTuru = 'Oturum kapatıldı' }
        $kayitlar.Add($acik[$sid]); $acik.Remove($sid)
    }
}
foreach ($k in $acik.Values) { $k.BitisTuru = 'Hâlâ bağlı'; $kayitlar.Add($k) }

# --- 2) Süre ve uyarı işaretleri ---
$rapor = foreach ($k in ($kayitlar | Sort-Object Baslangic)) {
    $sure = ''
    if ($k.Bitis) { $sure = [math]::Round(($k.Bitis - $k.Baslangic).TotalMinutes) }

    $saat     = $k.Baslangic.Hour
    $haftaSonu = $k.Baslangic.DayOfWeek -in 'Saturday', 'Sunday'
    $mesaiDisi = $haftaSonu -or $saat -lt $MesaiBaslangic -or $saat -ge $MesaiBitis
    $ipDurumu  = Get-IpDurumu -Ip $k.KaynakIP

    $uyarilar = @()
    if ($mesaiDisi)                  { $uyarilar += 'Mesai dışı' }
    if ($ipDurumu -eq 'Bilinmeyen')  { $uyarilar += 'Bilinmeyen IP' }

    [pscustomobject]@{
        Kullanici   = $k.Kullanici
        KaynakIP    = $k.KaynakIP
        IpDurumu    = $ipDurumu
        Tur         = $k.Tur
        Baslangic   = $k.Baslangic.ToString('yyyy-MM-dd HH:mm')
        Bitis       = if ($k.Bitis) { $k.Bitis.ToString('yyyy-MM-dd HH:mm') } else { '' }
        BitisTuru   = $k.BitisTuru
        SureDakika  = $sure
        Uyari       = ($uyarilar -join ', ')
    }
}
$rapor = @($rapor)
$uyarili = @($rapor | Where-Object { $_.Uyari })

# --- 3) Kullanıcı bazlı özet ---
$ozet = $rapor | Group-Object Kullanici | ForEach-Object {
    [pscustomobject]@{
        Kullanici      = $_.Name
        Baglanti       = $_.Count
        ToplamDakika   = ($_.Group | Where-Object { $_.SureDakika -ne '' } |
                          Measure-Object SureDakika -Sum).Sum
        FarkliIP       = (($_.Group.KaynakIP | Sort-Object -Unique) -join ', ')
        UyariSayisi    = @($_.Group | Where-Object { $_.Uyari }).Count
    }
} | Sort-Object Baglanti -Descending

# --- 4) 1149: ağ düzeyinde doğrulanan kaynak IP özeti ---
$rcm = 'Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational'
$dogrulama = @(Get-WinEvent -FilterHashtable @{ LogName = $rcm; Id = 1149; StartTime = $baslangic } `
              -ErrorAction SilentlyContinue) | ForEach-Object {
    $d = ([xml]$_.ToXml()).Event.UserData.EventXML
    [pscustomobject]@{ Kullanici = [string]$d.Param1; KaynakIP = [string]$d.Param3 }
} | Group-Object KaynakIP, Kullanici | ForEach-Object {
    [pscustomobject]@{ KaynakIP_Kullanici = $_.Name; Adet = $_.Count }
} | Sort-Object Adet -Descending

# --- 5) CSV ve HTML çıktısı ---
$tarih   = Get-Date -Format 'yyyy-MM-dd'
$csvYolu = Join-Path $CiktiKlasoru "rdp-rapor-$tarih.csv"
$htmlYolu = Join-Path $CiktiKlasoru "rdp-rapor-$tarih.html"

# Noktalı virgül ayırıcı: Türkçe Excel doğrudan sütunlara böler
$rapor | Export-Csv $csvYolu -Delimiter ';' -NoTypeInformation -Encoding UTF8

$css = @'
<style>
body { font-family: Segoe UI, Arial, sans-serif; font-size: 13px; }
table { border-collapse: collapse; margin-bottom: 20px; }
th, td { border: 1px solid #ccc; padding: 4px 8px; }
th { background: #eee; }
h3.uyari { color: #b00020; }
</style>
'@
$govde  = "<h2>RDP bağlantı raporu: $env:COMPUTERNAME</h2>"
$govde += "<p>Dönem: $($baslangic.ToString('yyyy-MM-dd')) - $tarih. Bağlantı: $($rapor.Count). Uyarılı: $($uyarili.Count).</p>"
if ($uyarili.Count -gt 0) {
    $govde += '<h3 class="uyari">Dikkat gerektiren bağlantılar</h3>'
    $govde += ($uyarili | ConvertTo-Html -Fragment | Out-String)
}
$govde += '<h3>Kullanıcı özeti</h3>'      + ($ozet      | ConvertTo-Html -Fragment | Out-String)
$govde += '<h3>1149 doğrulama özeti</h3>' + ($dogrulama | ConvertTo-Html -Fragment | Out-String)
$govde += '<h3>Tüm bağlantılar</h3>'      + ($rapor     | ConvertTo-Html -Fragment | Out-String)

$html = ConvertTo-Html -Head $css -Body $govde -Title "RDP rapor $tarih" | Out-String
Set-Content -Path $htmlYolu -Value $html -Encoding UTF8

Write-Host "Rapor: $htmlYolu"
Write-Host "Bağlantı: $($rapor.Count), uyarılı: $($uyarili.Count)"

# --- 6) İsteğe bağlı e-posta ---
if ($EpostaGonder) {
    [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
    $kimlik = Import-Clixml -Path $KimlikDosyasi
    $konu = "[$env:COMPUTERNAME] RDP raporu $tarih - uyarılı: $($uyarili.Count)"
    Send-MailMessage -SmtpServer $SmtpSunucu -Port $SmtpPort -UseSsl -Credential $kimlik `
        -From $Gonderen -To $Alicilar -Subject $konu -Body $html -BodyAsHtml `
        -Attachments $csvYolu -Encoding ([System.Text.Encoding]::UTF8)
    Write-Host 'E-posta gönderildi.'
}

powershell.exe -NoProfile -ExecutionPolicy Bypass -File C:\RdpRapor\RdpRapor.ps1 -Gun 7

#Requires -RunAsAdministrator
# Bu betiği ORNEK_RAPOR_HESABI ile oturum açmışken çalıştırın.

# 1) SMTP kimliğini bu hesaba özel şifreli dosyaya yaz
$kimlikDosyasi = 'C:\RdpRapor\smtp-kimlik.xml'
if (-not (Test-Path $kimlikDosyasi)) {
    Get-Credential -Message 'SMTP kullanıcı adı ve parolası' | Export-Clixml -Path $kimlikDosyasi
}

# 2) Görev tanımı
$eylem = New-ScheduledTaskAction -Execute 'powershell.exe' `
    -Argument '-NoProfile -ExecutionPolicy Bypass -File "C:\RdpRapor\RdpRapor.ps1" -Gun 7 -EpostaGonder'
$tetik = New-ScheduledTaskTrigger -Weekly -DaysOfWeek Monday -At '07:30'
$ayar  = New-ScheduledTaskSettingsSet -StartWhenAvailable -ExecutionTimeLimit (New-TimeSpan -Minutes 30)

# 3) Görevi kullanıcı oturumu kapalıyken de çalışacak şekilde kaydet
$hesap = Get-Credential -UserName "$env:COMPUTERNAME\ORNEK_RAPOR_HESABI" -Message 'Görev hesabı'
Register-ScheduledTask -TaskName 'RDP-Haftalik-Rapor' -Action $eylem -Trigger $tetik -Settings $ayar `
    -User $hesap.UserName -Password $hesap.GetNetworkCredential().Password -RunLevel Highest -Force

# 4) Hemen bir kez deneyin ve sonucu kontrol edin
Start-ScheduledTask -TaskName 'RDP-Haftalik-Rapor'
Start-Sleep -Seconds 60
Get-ScheduledTaskInfo -TaskName 'RDP-Haftalik-Rapor' | Select-Object LastRunTime, LastTaskResult