нужно узнать заходил ли юзер удаленно по rdp на сервер - как это сделать? Захожу в Просмотр событий - не пойму как отфильтровать, чтобы увидеть коннекты...сервер 2008

вроде такие вещи надо заранее включать в логирование. Если не включено, то побреешься.

аудит настроить?

+1 за аудит.

у меня в просмотре событий дофига всего...коннект оставляет ведь какое то событие?

Получено уведомление о входе пользователя для сеанса 938. - это значит зашел?

ага

http://www.oszone.net/6683/Windows_Server_2008
это для начала

(7) спасиб почитаю!

Открой просмотр событий, зайди сам по рдп - увидишь как выглядит это событие в журнале просмотра событий (если такой аудит включен) - ну а дальше по аналогии ищешь.