Grupos restringidos administradores locales: verificar antes del despliegue

Qué controlan realmente las directivas de grupos restringidos administradores locales

La revisión de las directivas de grupos restringidos administradores locales empieza con una pregunta práctica: ¿qué identidades deben conservar acceso administrativo en cada estación de trabajo o servidor miembro? Una entrada de GPO es solo una prueba más. Antes de desplegar una configuración de referencia de miembros, compare la población prevista con el grupo real, examine las dos propiedades de pertenencia de la directiva y demuestre qué equipos la reciben.

Esta guía describe un procedimiento de verificación y despliegue, contrastado con la documentación de Microsoft y la implementación de etc-collector el 4 de octubre de 2026. Los comandos son ejemplos de consulta para un administrador de Windows autorizado; ninguno se ejecutó contra un dominio para este artículo. No se afirma haber realizado cambios de pertenencia ni obtenido resultados de despliegue.

Microsoft documenta dos operaciones diferentes en Restricted Groups:

Microsoft admite este mecanismo para grupos locales, no para administrar los miembros de grupos de dominio. Añadir un grupo de seguridad del dominio al grupo Administrators local de un equipo es una operación distinta de editar los miembros de ese grupo de dominio. Este procedimiento se refiere a estaciones de trabajo y servidores miembros; los controladores de dominio requieren un diseño de administración independiente.

El grupo local también es distinto de la asignación de derechos de usuario. Revise los privilegios GPO como SeDebug y SeTcb por separado de los miembros de Administrators local. Una revisión de miembros no puede certificar esas asignaciones de privilegios.

Funcionamiento: lea la directiva antes de interpretar el hallazgo

En los archivos SYSVOL de la GPO, examine Machine\Microsoft\Windows NT\SecEdit\GptTmpl.inf, incluida la sección [Group Membership] completa. Registre el GUID de la GPO, su nombre para mostrar, el controlador de dominio de origen, la hora de recopilación y si se pudo leer el archivo. Conserve las líneas originales junto con la vista del editor de directivas.

La siguiente es una plantilla ilustrativa, que refleja el formato de clave leído por el recopilador. Los valores entre corchetes angulares son marcadores de posición, no SID válidos ni una configuración de referencia desplegable:

[Group Membership]
*S-1-5-32-544__Members = *<approved-domain-group-SID>,*<approved-local-account-SID>

Identifique la entidad de seguridad antes de __ y compruebe si el archivo real contiene __Members, __Memberof, ambos o ninguno para esa entidad. Registre por separado un valor __Members explícitamente vacío y una clave ausente. Estas distinciones no pueden recuperarse solo a partir de una matriz vacía de miembros analizados.

El procedimiento de Microsoft para plantillas de seguridad muestra las dos áreas de edición: Members of this group y This group is a member of. Ese artículo describe el flujo histórico del complemento de Windows Server 2003; utilícelo para entender las propiedades, sin tratar su antigua interfaz ni su lista de plataformas como instrucciones de despliegue actuales.

Prefiera una revisión basada en SID cuando los nombres para mostrar difieran entre idiomas. La documentación de Microsoft sobre identificadores de seguridad identifica S-1-5-32-544 como Administrators integrado. Conserve tanto el SID como el nombre resuelto en las pruebas. Que un nombre localizado sea válido en Windows no significa que la comparación de cadenas de un recopilador lo reconozca.

No edite manualmente un archivo SYSVOL de producción para hacer desaparecer un hallazgo de auditoría. Revise y cree la GPO prevista mediante su proceso de administración aprobado y después inspeccione el archivo resultante y el comportamiento de los equipos.

Detección: establecer los miembros, el alcance y las pruebas de cambios

Paso 1 — Capturar el estado inicial del equipo

En cada estación de trabajo o servidor miembro seleccionado, obtenga los miembros directos actuales antes de cambiar la directiva. Microsoft proporciona este ejemplo de Get-LocalGroupMember exacto para un nombre de grupo en inglés:

Get-LocalGroupMember -Group "Administrators"

Para seleccionar el grupo independientemente del idioma, la misma documentación define el parámetro -SID. Este ejemplo de consulta utiliza ese parámetro documentado con el SID del grupo integrado:

Get-LocalGroupMember -SID 'S-1-5-32-544'

Utilice un contexto de Windows PowerShell compatible; Microsoft señala que el módulo LocalAccounts no está disponible en PowerShell de 32 bits en un sistema de 64 bits. Guarde el resultado con la identidad del equipo y la marca de tiempo. Si el comando falla, conserve el error y marque ese dispositivo como pendiente de resolver, en lugar de registrar un grupo vacío.

Para cada entidad de seguridad devuelta, registre su SID, la cuenta o grupo resuelto, el responsable operativo y el motivo del acceso. Si aparece un grupo de dominio, revise por separado las personas y los grupos anidados que obtienen derechos a través de él. La lista de miembros locales directos por sí sola no indica quién recibe finalmente acceso a través de ese grupo.

Paso 2 — Demostrar que el equipo recibe la directiva prevista

Revise los vínculos de GPO, el estado de la configuración de equipo, el filtrado de seguridad, el filtrado WMI y la herencia. Incluya dispositivos representativos del alcance previsto y dispositivos que deban permanecer fuera de él. No deduzca la aplicación de una GPO por su nombre descriptivo ni por la presencia de su archivo en SYSVOL.

Microsoft documenta gpresult para obtener información del conjunto resultante de directivas. Estos ejemplos de solo lectura combinan sus opciones documentadas de alcance de equipo y salida:

gpresult /scope computer /r
gpresult /scope computer /h computer-policy.html

El primero muestra un resumen; el segundo guarda un informe HTML. Ejecútelos en un contexto autorizado que pueda obtener datos de directivas de equipo. Conserve las pruebas de GPO aplicadas y denegadas, la marca de tiempo y cualquier error del informe. En ARM64, la página de Microsoft especifica el ejecutable gpresult de SysWow64 para la opción HTML.

Utilice RSoP para investigar la aplicación y la precedencia, y después corrobore los miembros reales en el equipo. Ni un informe ni una plantilla legible sustituyen esa observación final.

Paso 3 — Identificar otros mecanismos que modifican los miembros

Inventaríe los elementos Local Users and Groups de las preferencias de directiva de grupo, sus acciones y su selección de destinos. La referencia de Microsoft sobre preferencias de directiva de grupo enumera esta extensión como un mecanismo para cambiar usuarios y grupos locales. Pregunte también al responsable de administración de dispositivos por los scripts y perfiles MDM que afectan al mismo grupo.

Para los dispositivos administrados mediante MDM, inspeccione el CSP de directiva LocalUsersAndGroups. Su acción Update puede añadir o eliminar miembros especificados conservando los no especificados; Restrict reemplaza los miembros. Para la acción Restrict de este CSP sobre Administrators integrado, incluya la cuenta Administrator integrada en la lista de miembros que se añaden; Microsoft documenta un error si un reemplazo intenta eliminarla. La documentación advierte que aplicar las directivas CSP LocalUsersAndGroups y RestrictedGroups a un mismo dispositivo no es compatible. Esa advertencia se refiere a las dos directivas CSP nombradas; no es una regla universal de precedencia para todas las combinaciones GPO/MDM.

Documente qué sistema es responsable de los miembros de cada población de dispositivos. Resuelva las instrucciones superpuestas antes del piloto; no adivine qué mecanismo dejará el estado final previsto.

Paso 4 — Supervisar las incorporaciones y eliminaciones

Las páginas de eventos de Microsoft verifican estos registros del log Security bajo Audit Security Group Management:

Recopile los eventos de los equipos pertinentes, no solo de los controladores de dominio. Para este procedimiento, seleccione los eventos cuyo TargetSid sea S-1-5-32-544 y conserve el equipo, la hora, MemberSid, la identidad del sujeto y SubjectLogonId. Verifique que la recopilación y el reenvío de auditoría funcionan antes de basarse en la ausencia de eventos.

Compare los cambios con el registro de despliegue y las pruebas de aplicaciones. Una incorporación inesperada tras una actualización de directivas puede justificar investigar otra fuente de administración o un cambio manual; por sí sola no identifica la GPO responsable ni demuestra un ataque. Estos eventos describen cambios de miembros, no la lista completa de miembros actuales.

Desplegar una configuración de referencia aprobada de miembros (Remediation)

Paso 1 — Aprobar la población con acceso

Cree configuraciones de referencia independientes cuando los roles de estaciones de trabajo y servidores tengan necesidades diferentes. Para cada entidad de seguridad conservada, exija un responsable, una finalidad y un alcance. Para cada eliminación propuesta, pida al responsable de la aplicación o del soporte afectado que valide el impacto. Registre las excepciones con su población de dispositivos, justificación y fecha de revisión.

Utilice el modelo de administración por niveles para definir responsables, poblaciones administrativas y límites de inicio de sesión. Una configuración de referencia de miembros locales forma parte de esa arquitectura; no sustituye la decisión sobre dónde pueden iniciar sesión esas identidades.

Paso 2 — Establecer una vía de recuperación utilizable

Antes del reemplazo, pruebe el proceso de recuperación aprobado en los dispositivos piloto. Confirme la cuenta administrativa local designada, sus pertenencias necesarias y la capacidad del equipo autorizado para recuperar el acceso si falla la administración habitual del dominio. Mantenga las credenciales fuera de los archivos exportados de revisión de directivas y de los archivos de pruebas compartidos.

Windows LAPS administra y respalda contraseñas de cuentas de administrador local en dispositivos unidos compatibles. Para una cuenta de recuperación administrada por LAPS, verifique la administración de la contraseña y su recuperación autorizada por separado de la pertenencia de la cuenta y de su vía de inicio de sesión utilizable. Tener una directiva LAPS no completa, por sí solo, la prueba de recuperación.

Paso 3 — Preparar la directiva y los criterios del piloto

Realice una copia de seguridad de la GPO existente y conserve las observaciones anteriores de miembros. Prepare la lista aprobada en el editor de directivas, revise la plantilla resultante y defina los vínculos y filtros exactos del piloto. Acuerde las responsabilidades de reversión y un procedimiento de restauración de miembros, no solo de la configuración de GPO.

No suponga que eliminar un vínculo de GPO recreará todos los miembros eliminados durante la aplicación. Exija un procedimiento de recuperación probado que restaure el acceso necesario y aborde el mecanismo que tiene autoridad sobre los miembros. Detenga el despliegue si la recopilación, las responsabilidades, la resolución de nombres o el alcance siguen siendo inciertos.

Paso 4 — Validar después de la aplicación

Despliegue en la población piloto mediante el proceso de cambio aprobado. Una vez procesada la directiva, repita los comandos de consulta de miembros y gpresult anteriores. Compare los SID anteriores y posteriores con la lista aprobada y el comportamiento documentado de la cuenta integrada. Revise las incorporaciones y eliminaciones durante la ventana de cambio.

Pida a los responsables de aplicaciones y soporte que prueben sus tareas administrativas reales, trabajos de mantenimiento y acceso de recuperación. Repita las observaciones después de posteriores procesamientos de directivas o actividades de administración de dispositivos para detectar mecanismos en conflicto. Un dispositivo inaccesible o una prueba de aplicación fallida sigue siendo un criterio de despliegue pendiente.

Paso 5 — Ampliar solo a partir de pruebas registradas

Avance por rol de dispositivo o población administrativa después de que el responsable del piloto acepte los resultados. Conserve las excepciones explícitamente, en lugar de ocultarlas en un grupo más amplio. Programe revisiones posteriores de miembros y alertas por desviaciones del estado aprobado. Mantenga visibles en el informe los dispositivos excluidos y no observados.

Cómo detecta EtcSec esta configuración

La comprobación M29_LOCAL_ADMIN_NOT_RESTRICTED de EtcSec es una señal para revisar la configuración. El código fuente de etc-collector se leyó en el commit 15fc6399c215eabc415c370b762303cfcd7a353a, incluidos m29_local_admin.go:38, gptmpl_parser.go:367 y las líneas client.go:154 y :214 de SMB.

Las ramas reales de Detect() son:

Count 1 es la señal de este detector, no un recuento de equipos afectados. La comparación no acepta otros nombres localizados. No evalúa MembersSIDs, MemberOfSIDs, la población con acceso aprobada, los vínculos o la aplicabilidad de las GPO ni los miembros reales de los equipos.

El analizador agrega Members y Memberof en una sola especificación por entidad de seguridad y crea esa especificación antes de comprobar el sufijo. Un valor Members vacío y una propiedad Members ausente son indistinguibles en la matriz de miembros resultante. Por tanto, una especificación coincidente que solo contenga Memberof puede suprimir el hallazgo sin establecer una configuración de referencia de reemplazo mediante Members.

El proveedor SMB rellena los valores de directiva cuando logra leer GptTmpl.inf. Aun así, inserta un objeto de directiva cuando esa lectura falla. Para esta comprobación, una lectura fallida puede parecer una configuración ausente; el hallazgo no expone una distinción específica sobre el éxito de la recopilación. Una entrada coincidente en una GPO fuera del alcance efectivo de un equipo también puede suprimir la señal.

La decisión de despliegue debe identificar la directiva exacta, las poblaciones aprobadas, las observaciones del piloto, la prueba de recuperación y los dispositivos pendientes de resolver. Un detector sin hallazgos no basta por sí solo para cerrar esa decisión.