¿Qué es una revisión de metadatos GPO AD?
Una revisión de metadatos GPO AD compara un inventario recopilado de objetos de directiva de grupo con información obtenida de forma independiente para la misma directiva, dominio y controlador de dominio. Su resultado es un registro de lo que se ha leído, lo que coincide y lo que sigue siendo desconocido. Que una GPO aparezca en un inventario demuestra que se ha observado un activo; no demuestra un filtrado correcto, una delegación completa, versiones sincronizadas ni una aplicación satisfactoria en los clientes.
Esta distinción importa cuando un inventario presenta un filtro WMI vacío o una lista breve de permisos. Un campo puede estar vacío porque la ruta de recopilación nunca lo solicitó. Interpretar esa representación como una ausencia confirmada convierte una limitación de recopilación en un veredicto sobre la configuración. El mismo problema surge cuando una lectura fallida de vínculos parece una directiva sin vínculos.
El procedimiento siguiente utiliza el inventario como punto de partida y una consulta de Group Policy con un ámbito definido como corroboración. Propone una revisión operativa, no una auditoría ejecutada en el dominio de un cliente. No es necesario modificar las directivas para recopilar las pruebas de comparación.
Cómo funciona: conservar juntas la identidad y la procedencia de las lecturas
Comience con un registro cuya clave sea el GUID de la GPO y el dominio. Conserve el nombre para mostrar por legibilidad, pero no lo utilice como clave de coincidencia. Añada el DC consultado, la hora de recopilación, la fuente y el éxito o el fallo de cada lectura. Cuando la recopilación original no exponga esos detalles, márquelos como desconocidos en lugar de atribuir el contexto de una sesión posterior de PowerShell a la observación anterior.
La referencia de Get-GPO de Microsoft documenta la recuperación con -Name, -Guid o -All. Un nombre para mostrar duplicado provoca un error, por lo que debe utilizar el GUID para la conciliación. Su salida de ejemplo incluye GpoStatus, WmiFilter, UserVersion y ComputerVersion; cada propiedad de versión muestra los valores de AD y SysVol. -Domain recibe un FQDN; -Server selecciona un DC. Si se omiten, se utiliza una selección del dominio dependiente de la sesión y el emulador de PDC.
La referencia de Get-GPOReport de Microsoft documenta informes XML o HTML que contienen vínculos, filtrado WMI, filtrado de seguridad, delegación y configuración de directivas. Son entradas para la conciliación, no un resultado del procesamiento en un cliente. Para ambos cmdlets, consultar otro dominio exige una relación de confianza con el dominio del usuario de la sesión (el dominio del equipo para los scripts de inicio o apagado).
Utilice una hoja de trabajo que mantenga visibles las dos observaciones:
| Prueba | Observación del inventario | Observación independiente | Decisión de revisión |
|---|---|---|---|
| Identidad | GUID, dominio, nombre para mostrar | GUID y dominio devueltos por la consulta | Verificar la identidad antes de comparar los campos |
| Procedencia de la lectura | DC, hora y resultado de lectura si están disponibles | DC explícito, hora, resultado del comando | Mantener como desconocida la procedencia que falte |
| Filtro WMI | Valor o limitación de recopilación | Asociación recuperada y entrada del informe | Distinguir lo ausente de lo no recopilado |
| Vínculos | Destinos e indicadores recopilados | Vínculos y ámbito indicados en el informe | Investigar el ámbito y los fallos de lectura |
| Delegación | Resumen de principales de seguridad y derechos | Delegación del informe y pruebas adicionales de ACL | No deducir el acceso efectivo |
| Versiones | Valores disponibles o no recopilados | Versiones AD y SYSVOL de usuario/equipo | Conservar las diferencias para investigarlas |
Añada una referencia al archivo de pruebas y un responsable a cada comparación sin resolver. Una captura de pantalla sin el GUID o una exportación sin su DC debe seguir considerándose una prueba incompleta. Este registro es un artefacto de revisión que usted elabora; el detector de inventario no produce todos estos campos.
La cadena de fallo: metadatos desconocidos se convierten en una falsa garantía
Considere un escenario de revisión propuesto: una GPO aparece en el inventario, su campo WMI está vacío y sus vínculos y delegaciones parecen normales. La persona que revisa concluye que la directiva no tiene restricciones WMI y que el resumen de sus derechos basta para explicar su aplicación. Un informe independiente muestra después una asociación WMI que el inventario nunca recopiló.
El problema es la interpretación de las pruebas. Sustituir el valor vacío del inventario por el valor del informe mejora el registro de revisión, pero no establece qué clientes cumplen el filtro. Del mismo modo, un resumen de delegación no permite resolver las entradas Deny explícitas ni demostrar quién puede editar realmente la directiva.
Otra discrepancia puede surgir cuando el informe y el inventario se obtuvieron de DC distintos o en momentos distintos. Conserve esos contextos antes de calificar la diferencia como deriva de configuración. De lo contrario, una diferencia de ámbito, una lectura fallida o una observación cambiante puede confundirse con un fallo de replicación confirmado.
Para la cuestión independiente de la aplicación, utilice la guía para verificar los derechos Read y Apply de las GPO y el ámbito real de los destinatarios. Distingue los permisos de recuperación de los derechos de aplicación y valida los resultados de los destinatarios previstos y de los no previstos. Esta hoja de metadatos aporta entradas contextualizadas a esa investigación.
Para la edición de directivas, revise los derechos de edición de las GPO y los vínculos a OU Tier 0. Ese artículo examina el límite de permisos de la propia GPO. Una entrada de delegación del inventario es un motivo para inspeccionar el principal de seguridad y los objetos pertinentes, no una prueba de control efectivo sobre una directiva privilegiada.
Detección: recuperar una GPO y un informe con un ámbito definido
1. Identificar el objetivo de la comparación
Seleccione el GUID real, el FQDN del dominio y el DC dentro del ámbito de revisión autorizado. Los valores siguientes son ejemplos, no infraestructura descubierta. Sustitúyalos antes de utilizarlos. Ejecute los comandos en un entorno de administración con el módulo GroupPolicy disponible; conserve los errores junto con las salidas satisfactorias.
Esta consulta adapta el conjunto de parámetros GUID documentado de Get-GPO al proporcionar Domain y Server:
Get-GPO -Guid '31a09564-cd4a-4520-98fa-446a2af23b4b' -Domain 'sales.contoso.com' -Server 'DC1'
Registre la identidad devuelta, el estado, la información WMI y los pares de versiones de usuario/equipo. Copie los valores reales en la hoja de trabajo. No sustituya una medición por la salida de ejemplo de la documentación de Microsoft.
2. Recuperar el informe desde el mismo ámbito
Este comando utiliza el conjunto de parámetros GUID documentado de Get-GPOReport. Sin Path, el informe se escribe en pantalla:
Get-GPOReport -Guid '31a09564-cd4a-4520-98fa-446a2af23b4b' -Domain 'sales.contoso.com' -Server 'DC1' -ReportType XML
Para una comparación más amplia, lo siguiente es el patrón documentado de informe de todas las GPO expresado con parámetros explícitos. Utilice un directorio de salida existente y aprobado:
Get-GPOReport -All -Domain 'sales.contoso.com' -Server 'DC1' -ReportType XML -Path 'C:\GPOReports\GPOReportsAll.xml'
Revise el informe de la directiva pertinente hasta sus últimos bloques de configuración. Conserve juntos el informe y el contexto del comando. Un archivo de informe que quede de una ejecución anterior no demuestra que un comando posterior fallido haya tenido éxito.
3. Clasificar las diferencias
| Señal | Clasificación que debe registrarse | Siguiente prueba necesaria |
|---|---|---|
| El informe muestra una asociación WMI; el valor del inventario está vacío | Campo del inventario no recopilado en la ruta revisada | Conservar la asociación y el contexto del informe |
| Los vínculos difieren | Comparación sin resolver | Conciliar horas, DC, particiones y resultados de lectura |
| Las listas de delegación difieren | Elemento para revisión de permisos | Inspeccionar las ACL subyacentes, Deny y el contexto del principal de seguridad |
| Las versiones de AD y SYSVOL difieren | Elemento para investigación de coherencia | Conservar los pares de usuario/equipo y las pruebas de replicación |
| El inventario no devuelve hallazgos de GPO | Resultado de recopilación desconocido sin corroboración | Establecer el ámbito y la enumeración satisfactoria de GPO |
| Ambas lecturas tienen éxito y los campos coinciden | Observación conciliada para ese ámbito y momento | Mantener la aplicación en clientes como cuestión independiente |
La coincidencia es útil, pero no extiende la observación a todos los DC ni a todos los clientes. Si se aprueba revisar DC adicionales, repita por separado las mismas consultas explícitas y conserve un registro distinto para cada uno. Un error de permisos sigue siendo un error; no debe convertirse en un recuento de cero ni en un valor «ausente».
Remediación: reparar las pruebas antes de cambiar la directiva (Remediation)
1. Corregir las conclusiones sin respaldo
Sustituya cualquier veredicto sin respaldo de «sin filtro WMI», «sin vínculos» o «acceso efectivo de edición» por el estado desconocido o sin resolver apropiado. Adjunte la información obtenida de forma independiente sin sobrescribir la observación original. Así se conserva el motivo del cambio de la revisión y el responsable puede distinguir las lagunas de recopilación de los cambios de configuración.
2. Investigar los fallos de coherencia
Cuando las versiones o las observaciones dentro del ámbito no coincidan, abra una investigación de replicación con los administradores de AD. Proporcione el GUID exacto, los DC, las marcas de tiempo, los pares de versiones de usuario/equipo y los errores de lectura. Solicite una copia de seguridad aprobada conforme al procedimiento de recuperación de la organización antes de cualquier reparación autorizada. Un informe es una prueba para la revisión; no sustituye una copia de seguridad que permita la recuperación.
No edite los números de versión para que una comparación resulte satisfactoria, no elimine una GPO para quitar una fila inexplicada del inventario ni cambie una asociación WMI solo para rellenar un campo ausente del recopilador. La hoja de trabajo debe describir la directiva observada, en lugar de llevar la directiva a parecerse a una carga de datos incompleta.
3. Verificar el resultado
Una vez que el equipo responsable complete una corrección aprobada, repita Get-GPO y Get-GPOReport con Domain y Server explícitos. Registre nuevas marcas de tiempo y compare con la referencia conservada. Cierre cada discrepancia con sus pruebas, responsable y explicación; mantenga las limitaciones de recopilación sin resolver.
Si la cuestión es si la configuración se aplica a un usuario o equipo previsto, solicite una validación independiente de los resultados en el cliente. Ni la coincidencia de metadatos ni la generación satisfactoria de un informe establece la directiva resultante en ese cliente.
Cómo detecta EtcSec este caso
Esta descripción se limita a INFO_DOMAIN_GPO_INVENTORY en el commit 9f698083354a1cb7f625df5cb490a515823c3257 de etc-collector. Su método Detect() emite un hallazgo Info con Count=1 por cada GPO recopilada. Los detalles de las entidades afectadas solo se adjuntan cuando IncludeDetails está habilitado. Si no se ha recopilado ninguna GPO, devuelve nil; eso no demuestra que el dominio esté vacío.
La ruta LDAP GetGPOs revisada no solicita ni versionNumber ni gPCWQLFilter. GPOEntity establece explícitamente WmiFilter en un valor vacío. Interprete ese valor como metadatos WMI no recopilados, no como prueba de que no existe un filtro asociado. Este control de inventario no aporta pruebas de coherencia de versiones AD/SYSVOL ni de la directiva resultante en clientes.
La recopilación de vínculos intenta la búsqueda Sites bajo un DN de Configuration construido a partir de BaseDN e ignora el error de esa búsqueda. El motor también ignora los errores devueltos por GetGPOs, GetGPOLinks y GetGPOAcls. Por tanto, la ausencia de activos, vínculos o entradas de delegación requiere una confirmación independiente de las lecturas satisfactorias y del ámbito.
Por último, gpoPermissions agrupa los derechos por principal de seguridad sin separar las entradas Deny ni calcular el acceso efectivo. Su salida es un resumen que debe investigarse, no un veredicto de autorización. Utilice la hoja de trabajo con el ámbito definido y la comparación del informe para contextualizar estas observaciones.
INFO_DOMAIN_GPO_INVENTORY es un control de inventario en el recopilador revisado. No figura en el catálogo de etiquetas de vulnerabilidad del sitio, por lo que este artículo no lleva etiquetas de vulnerabilidad. Su propósito es ayudar a quienes revisan a conservar los aspectos desconocidos y conciliar los metadatos de las GPO antes de tomar una decisión operativa.
Explore las páginas de identidad que apoyan este tema