Как узнать, подключался ли кто-то к компьютеру

Что в принципе можно установить, а что нет

Полезно сразу развести три разных вопроса — у них разные ответы и разная цена проверки:

• «Были ли подключения и когда» — устанавливается почти всегда: по сеансам в программе и по журналам входов в систему.
• «Кто подключался» — устанавливается, если доступ выдавался осознанно: известен владелец устройства и то, кому давали пароль. Если постоянный пароль знали несколько человек, точного ответа не будет.
• «Что человек делал на экране» — не устанавливается задним числом. Содержимое сеанса не сохраняется; такой ответ даёт только запись, включённая заранее.

Поэтому не ждите от проверки больше, чем она может дать, и не делайте выводов из того, что в журнале чего-то нет: отсутствие записи часто означает, что нужный журнал просто не ведётся. Чем запись сеанса отличается от простого учёта подключений и когда она оправдана, разобрано в статье о записи удалённого сеанса.

Проверка в самой программе удалённого доступа

Начните с программы, а не с системы: здесь информация точнее и относится именно к удалённым подключениям, а не к любым входам.

• Посмотрите, по какому паролю открывался доступ. Одноразовый пароль действует на один сеанс и после него перестаёт работать, поэтому подключиться повторно по нему нельзя. Постоянный пароль действует, пока его не сменили, — и именно он объясняет большинство случаев «кто-то заходил».
• Проверьте список устройств в учётной записи: нет ли машин, которых вы туда не добавляли, и не осталось ли устройств, доступ к которым давно не нужен.
• Посмотрите время удалённых сеансов по устройствам. В GoDesk минуты сеансов собираются в кабинете в таймшит по клиентам и машинам; раздел биллинга сессий доступен на платных тарифах.
• Проверьте, какие права были выданы. Управление клавиатурой и мышью, общий буфер обмена и передача файлов включаются по отдельности, и выключенное право ограничивает то, что в принципе могло произойти.

Что именно проверяемо в модели доступа и какие переключатели за это отвечают, собрано на странице безопасности. Если учёт времени нужен не для разбора инцидента, а для отчётности перед клиентом, он устроен так, как описано в разделе учёта времени удалённых сессий.

Проверка средствами системы

Системные журналы отвечают на более грубый вопрос — работала ли машина и входил ли в неё кто-то, — зато ведутся без всякой настройки.

• Windows: «Просмотр событий» → «Журналы Windows» → «Безопасность» показывает входы в систему и выходы из неё с датой и временем. Рядом, в «Системе», видны включения и перезагрузки.
• Linux: команда last выводит историю входов и перезагрузок, who — тех, кто в системе прямо сейчас.
• macOS: системные сообщения доступны в приложении «Консоль»; там же видны запуски служб и события входа.
• Любая система: сверьте время, когда машина была включена, с тем, когда за ней точно никого не было. Несовпадение — самый частый и самый дешёвый признак.

Отдельно посмотрите на автозапуск и на список установленных программ: в Windows это «Диспетчер задач» → «Автозагрузка» и «Параметры» → «Приложения». Чужая программа удалённого доступа, поставленная «помощником по телефону», обычно никуда не прячется — она просто стоит в списке, и о ней забыли.

Если подключение было чужим: что сделать сразу

Порядок здесь важнее полноты: сначала закрыть доступ, потом разбираться. Разбор по горячим следам почти всегда проигрывает быстрому отзыву.

• Смените постоянный пароль доступа на машине. Пока он действует, остальные меры не помогают.
• Удалите устройство из чужих учётных записей и отключите те, которые вам не принадлежат.
• Удалите программы удалённого доступа, которые вы не ставили сами, и уберите их из автозапуска.
• Смените пароли сервисов, которые были открыты в браузере на этой машине, и включите второй фактор там, где его не было.
• Запишите время и то, что именно насторожило: без этого вы через неделю не отличите новое событие от старого.

Если доступ дали человеку, который позвонил и представился поддержкой, дальше полезнее другая статья — как распознать мошенника с удалённым доступом и чего от него ждать. Если речь о рабочих машинах и ушедшем сотруднике, порядок закрытия доступов описан в материале об отзыве доступа.

Как сделать, чтобы в следующий раз было видно сразу

Разбор задним числом тяжёл именно потому, что к нему не готовились. Три решения, которые принимаются один раз и дальше работают сами: постоянный пароль остаётся только на машинах, которые действительно нужны без присмотра; для разовой помощи используется одноразовый пароль, который сгорает после сеанса; на учётной записи включён второй фактор. После этого вопрос «подключался ли кто-то» перестаёт быть детективным и становится просмотром списка.

И проверьте привычку, которая стоит дешевле любых настроек: закрывать сеанс самому, а не ждать, что он закроется. Закрытое окно программы и завершённый сеанс — не одно и то же, и именно на этом месте чаще всего возникает ощущение, что доступ остался открытым.