Пользователь системного "сканера" продолжает блокировку, а в программе просмотра событий остается пустое место, где находится источник. В некоторых случаях есть IP-адрес, который указывает на разные принтеры или сканеры, но я повторно ввел пароли, все те же IP-адреса отображаются в журнале с неверными попытками ввода пароля. Пытался локализовать событие 4740 (никогда не было источника), 4625 (в некоторых случаях, но в основном без источника) Как я могу найти источник проблемы?
Решено этим ответом: https://superuser.com/questions/409099/is-there-a-log-file-for-rdp-connections Посмотрел последнюю попытку неверного пароля на DC и одновременно просмотрел журнал rdp.