Windows 10에서 이벤트 뷰어로 원격 데스크톱 접속 실패 로그를 확인하는 방법

적용 환경 및 주의사항

이 문서는 원격 데스크톱 호스트 기능을 사용할 수 있는 Windows 10 Pro, Enterprise 계열 환경을 기준으로 설명합니다. 이벤트 로그를 확인할 때는 관리자 권한 계정을 사용하는 것이 좋습니다.

1. 이벤트 뷰어 실행

Win + R 키를 누른 뒤 다음 명령을 입력합니다.

eventvwr.msc

이벤트 뷰어가 열리면 왼쪽 메뉴에서 Windows 로그 → 보안으로 이동합니다. RDP 인증 실패를 확인할 때 가장 중요한 기록이 이 보안 로그에 저장됩니다.

2. 보안 로그에서 이벤트 ID 4625 확인

Microsoft 문서에서 이벤트 ID 4625는 로그온 실패(An account failed to log on)를 의미합니다. 보안 로그가 많다면 오른쪽의 현재 로그 필터링을 클릭하고 이벤트 ID에 다음 값을 입력합니다.

4625

접속을 시도한 시간과 일치하는 이벤트를 선택하고 아래의 일반 또는 세부 정보 탭에서 내용을 확인합니다.

3. RDP 실패 기록인지 Logon Type 10으로 확인

4625 이벤트의 Logon Type 항목을 확인합니다. Microsoft의 로그온 유형 정의에서 10은 RemoteInteractive이며, Terminal Services 또는 Remote Desktop을 이용한 원격 대화형 로그온을 의미합니다.

Logon Type: 10

따라서 접속 실패 시간대의 4625 이벤트에서 Logon Type: 10이 확인된다면 해당 기록을 RDP 로그인 실패 원인 분석에 사용할 수 있습니다.

4. 실패 계정과 접속 IP 확인

4625 이벤트에서는 다음 항목을 우선 확인합니다. Windows 표시 언어에 따라 항목 이름은 한글 또는 영문으로 표시될 수 있습니다.

반복적인 실패 기록에서 동일한 원본 IP와 여러 계정명이 계속 나타난다면 무차별 대입 또는 자동화된 로그인 시도인지 추가로 확인할 필요가 있습니다.

5. Status와 SubStatus로 실패 원인 확인

4625 이벤트의 Status와 Sub Status 값을 확인하면 비밀번호 오류인지 계정 제한인지 보다 구체적으로 판단할 수 있습니다.

실제 이벤트에서는 Status와 Sub Status가 함께 표시될 수 있으므로 둘 다 확인하고, 이벤트의 Failure Reason 설명과 함께 판단하는 것이 좋습니다.

6. RDP 전용 이벤트 로그 함께 확인

보안 로그와 함께 RDP 전용 이벤트 채널도 확인하면 인증 단계와 세션 생성 단계를 구분하는 데 도움이 됩니다. 이벤트 뷰어에서 다음 경로로 이동합니다.

응용 프로그램 및 서비스 로그
  → Microsoft
  → Windows
  → TerminalServices-RemoteConnectionManager
  → Operational

이 채널의 이벤트 ID 1149는 원격 데스크톱 사용자 인증이 성공한 기록을 확인할 때 사용할 수 있습니다. 따라서 4625 실패 이벤트와 1149 성공 인증 기록을 같은 시간대에 비교하면 인증 단계에서 실패했는지, 인증 이후 세션 생성 과정에서 문제가 발생했는지를 구분하는 데 도움이 됩니다.

7. PowerShell로 4625 로그 조회

이벤트 뷰어 대신 관리자 PowerShell에서 최근 4625 이벤트를 조회할 수도 있습니다.

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
    Select-Object TimeCreated, Id, Message

최근 24시간 범위로 제한하려면 다음과 같이 실행합니다.

Get-WinEvent -FilterHashtable @{
    LogName='Security'
    Id=4625
    StartTime=(Get-Date).AddHours(-24)
} | Select-Object TimeCreated, Id, Message

출력된 메시지에서 Logon Type, 실패 계정, 원본 네트워크 주소, Status, Sub Status를 확인합니다. Windows 표시 언어에 따라 메시지의 필드명이 번역되어 표시될 수 있습니다.

8. 4625 이벤트가 보이지 않을 때

사용자가 분명히 RDP 접속에 실패했는데 4625가 없다면 크게 두 가지를 확인해야 합니다.

인증 단계까지 도달하지 못한 경우

방화벽 차단, 잘못된 포트, RDP 서비스 중지, 라우팅 문제 또는 네트워크 타임아웃처럼 TCP 연결 단계에서 실패하면 Windows 로그온 인증 자체가 시작되지 않을 수 있습니다. 이런 경우에는 4625 이벤트가 생성되지 않을 수 있으므로 RDP 포트와 서비스 상태부터 확인해야 합니다.

로그온 실패 감사 정책 확인

로그온 실패 감사가 비활성화되어 있으면 필요한 보안 이벤트가 기록되지 않을 수 있습니다. Windows 10 Pro에서는 secpol.msc를 실행한 뒤 다음 경로에서 Audit Logon의 Failure 감사 설정을 확인할 수 있습니다.

Security Settings
  → Advanced Audit Policy Configuration
  → System Audit Policies
  → Logon/Logoff
  → Audit Logon

9. 로그 결과에 따른 점검 방향

관련 비전 IDC 기술자료

• Windows 서버 원격 데스크톱(RDP) 포트 변경 방법
• Windows 서버 원격 데스크톱 로그인 계정 비밀번호 변경 방법

공식 참고자료

• Microsoft Learn — 4625(F): An account failed to log on — 이벤트 ID 4625의 로그온 유형, 실패 계정, 원본 네트워크 주소, Status/SubStatus와 보안 모니터링 권장사항 확인. 조회일: 2026-10-18.
• Microsoft Learn — Audit logon events — 이벤트 ID 4625와 Logon Type 10(RemoteInteractive) 정의 확인. 조회일: 2026-10-18.
• Microsoft Learn — Audit Policy CSP — Windows 10의 Logon/Logoff 감사 정책과 Failure 감사 설정 확인. 조회일: 2026-10-18.
• Microsoft Learn Q&A — Remote Desktop connection records — TerminalServices-RemoteConnectionManager/Operational과 이벤트 ID 1149 확인 경로 참고. 조회일: 2026-10-18.

자주 묻는 질문

원격 데스크톱 비밀번호를 틀렸을 때 어떤 이벤트가 기록되나요?

일반적으로 보안 로그의 이벤트 ID 4625를 확인합니다. RDP 로그인 시도인지 판단하려면 이벤트 내용에서 Logon Type 10인지 함께 확인하십시오.

접속을 시도한 외부 IP도 확인할 수 있나요?

4625 이벤트의 Source Network Address 항목에 원본 네트워크 주소가 기록될 수 있습니다. 다만 인증 방식이나 네트워크 구성에 따라 일부 값이 기대와 다르게 표시될 수 있으므로 접속 시간과 다른 로그를 함께 비교하십시오.

RDP 연결이 시간 초과되는데 4625 로그가 없습니다.

방화벽, 포트, 서비스 또는 라우팅 문제로 인증 단계까지 도달하지 못했다면 4625가 생성되지 않을 수 있습니다. 이 경우 RDP 기본 포트 3389 또는 실제 변경된 포트의 연결 가능 여부와 TermService 상태를 먼저 확인하십시오.

이벤트 ID 1149가 있으면 접속 실패인가요?

아닙니다. 1149는 RDP 사용자 인증이 성공한 기록을 확인할 때 사용하는 이벤트입니다. 인증은 성공했지만 이후 세션 생성 과정에서 문제가 생긴 경우에는 1149가 존재하면서 최종 접속이 실패할 수도 있으므로 보안 로그와 RDP 세션 로그를 함께 확인해야 합니다.