2008 R2

alef2474 · Отправлено: **16:04, 23-08-2013** | #11

Цитата ДмитрийFefilatyev:

Извините не особо хорошо разбираюсь в сервере где это можно посмотреть »

В сервере можете посмотреть в AdministrativeTools- Event viewer: Ветка Аpplications and Services Logs-Microsoft-Windows-TerminalServices-RemoteConnectionManager-Operational - там показываются терминальные соединения, под каким именем(логином) и с какого ip адреса, отследить то непонятное соединение.

ДмитрийFefilatyev · Отправлено: **16:19, 23-08-2013** | #12

Терминальное соединение. так они не под терминалом работают

А можно скрин а то у меня сервер русский.

alef2474 · Отправлено: **16:37, 23-08-2013** | #13

Извините попутал с терминалом. Обычные входы в Event Viewer-WindowsLogs-Security, хотя там ip не указываются, а только доменные имена компов, сравните с другими заходами по времени. По-русски не знаю, но можно же догадаться, наверно, меню Административные инструменты-ПросмотрСобытий(на Вашей же картинке есть)
Посмотрите там Общие ресурсы, Открытые файлы и определитесь, что это за пользователь. Если считаете, что нелегал-администратор, то скиньте его открытые файлы, замените пароль. Если легал - то прибежит жаловаться, тут и узнаете, кто это.
По журналу в конфигураторе 1С можете определить под каким именем заходил он в 1С (если заходил) и определить комп, вряд ли 1С пользовались по и-нету без терминала.