你要看具体的登陆事件是什么,logon type 10才是远程桌面。
这个audit不代表完全的登陆操作,可能连服务启动、访问远程文件夹都会包括在里面,
还可以看RemoteDesktopServices、TerminalServices的日志,那个比看这些audit什么的清楚的多