Cómo recibir notificaciones sobre cambios en grupos importantes de Active Directory
Como administrador de Active Directory, probablemente esté familiarizado con grupos importantes como administradores de dominio, administradores de esquema y administradores empresariales. Cuando una cuenta es miembro de uno o más de estos grupos, esa cuenta tiene un poder importante en su entorno AD. Tal como dice el viejo refrán: “Un gran poder conlleva una gran responsabilidad”, se debe confiar en los miembros de estos grupos. Te espera un mal día cada vez que un intruso o un empleado descontento se convierte en miembro de un grupo importante como estos. Te corresponde vigilar a grupos importantes como un halcón. ¿Pero cómo? Me alegra que hayas preguntado.
Una forma de monitorear grupos importantes de Active Directory es mediante una tarea programada y un script de Windows PowerShell. Con el módulo Active Directory en el paquete de herramientas de administración remota del servidor (RSAT), puede consultar de forma remota a los miembros de cualquier grupo AD. Combine esa capacidad con la ejecución en un cronograma recurrente a través de una tarea programada y obtendrá una buena solución de auditoría casera.
Para hacer esto, será necesario que el script ejecute las consultas de membresía del grupo, así como la creación de la tarea programada en sí, que también crearé mediante un script. Empecemos.
Antes de que podamos recibir notificaciones sobre los cambios, primero debemos consultar la membresía del grupo. Esto es muy fácil con el cmdlet de PowerShell Get-AdGroupMember. Con este cmdlet, simplemente puede usar el parámetro Identidad y especificar un nombre de grupo e inmediatamente devolverá todos los miembros dentro de ese grupo.
Puedes ver en mi ejemplo que tengo un grupo llamado TestGroup y dos miembros dentro; Invitado y Administrador. Ahora eliminaré la cuenta Invitado como prueba y la ejecutaré nuevamente.
El único miembro de ese grupo ahora es Administrador. ¡Excelente! Ahora hemos probado el escenario de eliminar a un miembro. Ahora, probemos para ver si puedo obtener el cambio de membresía si agrego un miembro.
¡Éxito! Ahora he confirmado que puedo detectar si una cuenta ha sido agregada o eliminada de un grupo AD. Todo esto está muy bien, pero no voy a ejecutar esto solo una y otra vez durante el día solo para ver si algo ha cambiado. ¡La automatización salva el día!
Ahora, agreguemos un miembro del grupo nuevamente y esta vez, en lugar de simplemente observar las diferencias, agreguemos algo de código para que PowerShell detecte la diferencia. En este ejemplo, agregué la cuenta Invitado al TestGroup nuevamente, pero esta vez capturé el estado del grupo antes y después del cambio en las variables. Al hacerlo, ahora tengo la capacidad de hacer una comparación simple y puedo ver fácilmente que se agregó la cuenta Invitado.
La misma táctica exacta también se puede utilizar para cualquier miembro eliminado.
Hemos creado el código para recopilar la membresía del grupo en dos estados diferentes y ahora también podemos comparar los dos para conocer los cambios en la membresía del grupo. ¿Qué sigue?
El siguiente paso es convertir este código en un script donde se pueda llevar al siguiente nivel. He creado un script de ejemplo para demostrar este concepto. El guión toma este concepto y lo ejecuta. El script es sólo un ejemplo de lo que se puede hacer con este código. No solo detecta el cambio, sino que también puede hacerlo para varios grupos, escribe un archivo de registro con información de estado y también mantiene un archivo CSV con la membresía del grupo para guardarlo en el disco y guardarlo después de los reinicios.
Finalmente, hay una página breve sobre cómo detectar quién agregó un usuario a un grupo de administradores de dominio. Esto lleva el concepto una vez más a un nivel completamente diferente, ya que el script que proporcioné aquí simplemente detecta el cambio, no quién lo hizo realmente. Netwrix Auditor ya tiene incorporada toda esta capacidad que discutimos hoy. No es necesario manipular guiones a menos que realmente lo desees. Con su producto de software Netwrix Auditor, la auditoría cuando se agrega o elimina un usuario de un grupo AD es trivial. Le sugiero que lo consulte si desea esta y otras capacidades de auditoría mucho más avanzadas.