Encuentre fácilmente administradores locales en todas las computadoras
En este artículo, le mostraré cómo encontrar usuarios que tengan derechos de administrador local en computadoras locales y remotas.
La primera opción es utilizar una herramienta GUI llamada informe de administración local. Si no desea utilizar herramientas de Active Directory de terceros, le mostraré una segunda opción que utiliza PowerShell.
Los usuarios que tienen derechos de administrador local tienen control total sobre la computadora local. Esto permite a los usuarios instalar software no deseado, cambiar la configuración de la computadora y facilita la instalación de virus y software malicioso. También facilita que los piratas informáticos tomen el control de su computadora.
En un informe de vulnerabilidades de Microsoft, descubrieron que el 85% de las vulnerabilidades críticas podrían haberse mitigado eliminando los derechos de administrador.
¿Qué son los administradores locales?
En la computadora local, hay un grupo llamado Administradores. Los usuarios de este grupo local tendrán derechos de administrador en la computadora local. Puede ver este grupo yendo a Administración de equipos -> Usuarios y grupos locales -> Grupos
En la captura de pantalla anterior puedes ver que tengo cuatro miembros en el grupo de administradores locales. Dos de estos miembros son grupos de dominio (ADPRO\Domain Admins y ADPRO\Domain Users). Es normal que los administradores del dominio y la cuenta del administrador local estén en este grupo.
Los usuarios del dominio no deberían estar en este grupo. Esto significa que cada usuario del dominio tiene plenos derechos de administrador en la computadora.
Veamos dos métodos para buscar usuarios que tengan derechos de administrador local.
Método 1: busque derechos de administrador local con AD Pro Toolkit
El primer método que les mostraré es la herramienta de informes del administrador local. Esta es una de las 13 herramientas del kit de herramientas de AD Pro. Esta herramienta hace que sea muy fácil escanear computadoras para administradores locales.
Requisitos:
- AD Pro Toolkit: puede descargar una prueba gratuita aquí.
- Es necesario permitir WMI en la configuración del Firewall de Windows. Si tiene esto bloqueado, puede usar la política de grupo para abrirlo en todas las computadoras.
Paso 1: abrir el kit de herramientas
En Herramientas, seleccione "Informe de administradores locales"
Paso 2: seleccione opciones de búsqueda
A continuación, elija qué computadoras escanear. Puede escanear todo el dominio, seleccionar una unidad organizativa/grupo o buscar objetos de computadora.
Paso 3: haga clic en Ejecutar
Ahora simplemente haga clic en el botón Ejecutar. Los resultados se mostrarán en la sección del informe.
Puede ver en la captura de pantalla anterior que tengo varios usuarios y grupos que son miembros del grupo de Administradores local en varias computadoras. La columna Fuente principal le indicará si la cuenta es una cuenta local o una cuenta de dominio.
Paso 3: Exportar resultados a un archivo CSV.
Para exportar, simplemente haga clic en el botón exportar, seleccione el formato y seleccione "exportar todas las filas".
Ahora tendrás un informe de todos los administradores locales en todas las computadoras. En la siguiente captura de pantalla destaqué algunas cuentas que no deberían tener derechos de administrador. Necesitaré investigar estas computadoras.
Obtener todos los miembros del grupo local
De forma predeterminada, esta herramienta solo recibe a los miembros del grupo Administradores. Si desea obtener un informe de todos los grupos locales, seleccione la casilla "Mostrar todos los grupos".
Aquí hay una captura de pantalla de algunas computadoras en mi red.
Pruebe el Informe de administración local de forma gratuita, descargue su copia aquí.
Método 2: buscar derechos de administrador local con PowerShell
Para buscar administradores locales con PowerShell, puede utilizar el comando Get-LocalGroupMember.
A continuación se muestra un ejemplo de ejecución en una computadora local.
Get-LocalGroupMember -Group "Administrators"
El ejemplo anterior ejecuta el comando en la computadora local. Para ejecutar en una computadora remota, puede usar el comando invoke. Para que este comando funcione, deberá tener habilitado PowerShell Remoting. Está deshabilitado de forma predeterminada.
Puede utilizar el comando Enable-PSRemoting para habilitar PowerShell Remoting. Debería utilizar una política de grupo o algún otro método de implementación para habilitarlo en todas las computadoras.
Cuando PowerShell Remoting está habilitado, puede usar este comando para obtener administradores locales en computadoras remotas.
Invoke-Command -ComputerName pc2 -ScriptBlock{Get-LocalGroupMember -Name 'Administrators'}
Para ejecutar este comando en varias computadoras, simplemente sepárelas con una coma. A continuación se muestra un ejemplo de cómo ejecutar este comando en computadoras con el nombre de host de PC1 y PC2.
Invoke-Command -ComputerName pc1, pc2 -ScriptBlock{Get-LocalGroupMember -Name 'Administrators'}
Puede ver en la captura de pantalla anterior que el resultado no es ideal y requeriría algo de trabajo adicional. Es por eso que creé la herramienta de informes de administrador local, hace que escanear varias computadoras para administradores locales sea muy fácil y el resultado es fácil de leer.
Eliminación de derechos de administrador local
Acabo de mostrarte dos métodos para encontrar derechos de administrador. Ahora necesitas identificar a los usuarios que no necesitan estos derechos y eliminarlos.
La mejor manera de eliminar los derechos de administrador local es utilizar la política de grupo y los grupos restringidos. Los grupos restringidos le permiten administrar de forma centralizada los grupos locales en todas las computadoras de su dominio. También puede dirigirse a computadoras u unidades organizativas específicas en lugar de a todo el dominio.
Consulte el artículo Eliminar usuarios del grupo de administradores locales mediante la política de grupo para obtener más detalles.