работает человек за компом,
чем можно "поймать" событие подключения к локальной машины с перехватом мыши ? видимые признаки - мышь двигается
цель - узнать какой прогой подключились
т.е. на уровне винды узнать мышь шевелит сам юзер или программа дистанционного управления ии какая программа получила доступ
чем это поймать можно чтоб наверняка ?

В общем случае - никак.
Т.к. разные программы используют разные протоколы и т.п.
Только если заранее знать какие могут программы подключаться и искать конкретно их признаки.

но ведь разные проги где то на уровне винды получают доступ к к одному и тому же интерфейсу управления мышью, (а протокол подключения проги к компу - второе дело )
может это можно поймать какой проге было разрешено виндой ?

запрет RDP не пройдет?
или отключаться от сети

у RDP нет логирования сеансов?

если терминал, тогда аудит

(2) И как ты отличишь подключение еще одной мыши, от эмуляции этой мыши путем подключения из вне?

Фаервол поставить и настроить запрет удаленного доступа

6+ Вообще фаерволы как раз придуманы для того что б закрывать порты которые не нужны.

частные решения не интересны
(6) при эмуляции с USB порта мыши в комп ничего не поступает, думается винда должна быть способна отличить эмуляцию от действий аппаратных устройств, не ?

как мышь двигается ? по экрану и сама окна открывает или ползет ?

(2)
Мышью тоже можно по-разному управлять (SetCursorPos или SendInput).
Даже управление курсором с помощью клавиатуры - вполне себе штатная ситуация.
И в винде никаких особых разрешений для этого не требуется.

(10) будем считать что подключение было, а не то что лазерная мышка по узорчатому коврику дает глючные движения

http://only-free-soft.ru/data-security/antivirus-and-anti-spyware/170-microsoft-process-monitor.html
ну попробуй ето поюзать

(9) Ну ну....
Думай так и дальше.
На сайте Microsoft  если покопаться, можно найти SDK пакет для эмуляции USB устройств. Для системы софтверные устройства ничем не отличаются от аппаратных.

http://www.spy-soft.net/microsoft-network-monitor/

(13) обнови базу http://technet.microsoft.com/ru-ru/sysinternals/bb896645

кстати - я как то три  мыши подключал одновременно ;)) через хаб - ничо так - прикольно

(14) драйвер грузят. это можно перехватить.

+(18) иногда

(18) Это да.

вобщем, по мнению сообщества, непосредственно залогировать команды отрисовки экрана (движения мыши и иные действия виртуальной мыши) от уже крутящейся в памяти проги, с неизвестным заранее именем (любо мимикрирующей под "легальный" процесс), не использующей сетевое соединение (которое можно обрубить файрволлом)
и идентифицировать название такой проги (исполняемого файла)
НЕВОЗМОЖНО

возможно, глобальный хук и далее получить модуль