Como posso determinar se um servidor Windows 2003 ainda está sendo usado por alguém / coisa e, se for, para que está sendo usado?

Estou desenhando um espaço em branco no que mais verificar, além do visualizador de eventos, para ver quais contas estão se conectando ao servidor.

Esta não é uma pergunta idiota, é uma ótima pergunta e fico feliz que você esteja perguntando.

Processos humanos

Verifique se você revisou toda a documentação, conversou com os barbudos e recebeu aprovação de alguém da empresa.

Processos técnicos

Obtenha um backup completo; marcar a mídia para arquivamento a longo prazo. Execute um monitor de conexão ou sniffer de pacotes por um período de tempo para ver quais conexões ainda estão sendo feitas. Inspecione os serviços para ver se algo soa importante / familiar.

Cortando o cordão

Melhor ideia do que desligar - desconecte o cabo de rede por alguns dias. Se for uma máquina física antiga, você não quer arriscar a situação em que precisa ligá-la novamente, mas os eixos do disco estão congelados. Deixe-os girando.

Fonte de autoridade - Passei mais de um ano desativando servidores antigos para uma empresa farmacêutica da Fortune 25. Este foi o processo, e funcionou.

Desligue e veja quem grita e sobre o quê.

Sério, é o melhor caminho. Até mesmo a verificação de logs o levará apenas até agora, porque você verá apenas as atividades registradas.

EDIT : Para evitar comentários adicionais, este conselho pressupõe que você já fez o que deveria ter feito em primeiro lugar, mesmo antes de fazer a pergunta aqui - perguntada sobre o servidor, procurou por documentação e efetuou logon para ver se você pode perceber qualquer sinal óbvio de atividade.

Isso também pressupõe que você não esteja em um desses ambientes que aparentemente existem onde sistemas críticos para os negócios que ninguém sabe sobre rodam em hardware tão frágeis que correm o risco de explodir em chamas ou explodir durante a inicialização.

Para usuários que estão se autenticando no servidor com LDAP (compartilhamentos de arquivos, compartilhamentos de impressão etc.), você pode usar o snap-in "Compartilhamentos e sessões" no mmc para identificar os usuários conectados às sessões abertas. São usuários conectados ativa ou passivamente (unidades mapeadas).

Encontrei um artigo mais detalhado.

Você também pode verificar se ele possui algum serviço instalado, como SQL ou programas, e verificar se há portas abertas não padrão usando software como o TCPView sysinternals para identificar qualquer software em execução. Essas portas abertas podem ajudar a identificar os protocolos que estão sendo usados ​​e podem ajudar a identificar a finalidade do servidor.

Por fim, você pode verificar os serviços instalados / em execução e identificar o que está sendo executado.

Realmente não se encaixa na sua situação, porque você disse que tem vários servidores para verificar; portanto, é para outras pessoas que leem isso em busca de respostas próprias:

Se for uma empresa pequena e não houver documentação processual real ou técnicos no local com os quais conversar, aqui estão duas coisas que você pode fazer:

Verifique serviços e programas instalados, veja se você consegue descobrir quem usa o software que se conecta a esses serviços e verifique se eles foram movidos para novos servidores.

Compartilhamentos, tenho certeza que você sabe que pode ver todos os arquivos abertos da rede no snap-in MMC de pasta compartilhada (gerenciamento do computador> pastas compartilhadas), sessões e arquivos abertos ajudarão você aqui. Encontre os computadores / usuários listados aqui e mova seus arquivos para o novo local.

Uma vez feito isso, sinta-se à vontade para desconectá-lo da rede ou desligá-lo, conforme declarado. Essa é realmente a única maneira de saber com certeza que não está sendo usado. Aguarde alguns dias, caso algo que não seja usado constantemente.