Хочется увидеть что будут делать, когда в RDP уже ворвались (пароль подобрали).
Зашифруют, заложат что-нибудь на будущее или др.
Посмотреть, поиграть, желательно бесплатный софт
Azure security center с Defender ATP - 900 рублей на машину. Полное протоколирование всех процессов на машине (запуск, остановка, наследование) расшифровка кодированных команд, атрибуция с существующими инструментами и фреймворками. Разбивка алертов по Mitre Att&ck. В общем налюбоваться более чем. (Правда за счет встроенных механизмов защиты, многое вульгарных вещей не запустится...)
Около бесплатно - sysmon и логи вытаскивать через event forward. Готовых рецептов много.