先看事件ID：682
在过滤里输入682即可

682：用户已重新连接至已断开的终端服务器会话

有没有登陆的信息。有的话再查看完整个的日志，找到登陆时间那段，向上找，每步入侵的动作都写得很清楚。
这样也就知道入侵者干了什么事，向上走可以看到他从哪里得到系统的权限。

这样可以省不少时间。