Qu'est-ce qu'une revue des métadonnées des GPO AD ?
Une revue des GPO AD compare un inventaire collecté des objets de stratégie de groupe avec des informations obtenues indépendamment pour la même stratégie, le même domaine et le même contrôleur de domaine. Elle produit un relevé de ce qui a été lu, de ce qui concorde et de ce qui reste inconnu. La présence d'une GPO dans un inventaire établit qu'un objet a été observé ; elle ne prouve ni un filtrage correct, ni une délégation complète, ni des versions synchronisées, ni une application réussie sur les clients.
Cette distinction compte lorsqu'un inventaire affiche un filtre WMI vide ou une courte liste d'autorisations. Un champ peut être vide parce que le chemin de collecte ne l'a jamais demandé. Interpréter cette représentation comme une absence confirmée transforme une limite de collecte en verdict sur la configuration. Le même problème se pose lorsqu'un échec de lecture des liens ressemble à une stratégie sans liens.
La procédure ci-dessous utilise l'inventaire comme point de départ et une requête Group Policy sur un périmètre défini comme corroboration. Elle propose une revue opérationnelle, pas un audit exécuté sur le domaine d'un client. Aucune modification de stratégie n'est nécessaire pour recueillir les preuves de comparaison.
Fonctionnement : conserver ensemble l'identité et la provenance des lectures
Commencez par une fiche dont la clé associe le GUID de la GPO et le domaine. Conservez le nom d'affichage pour faciliter la lecture, mais ne l'utilisez pas comme clé de rapprochement. Ajoutez le DC interrogé, l'heure de collecte, la source et la réussite ou l'échec de chaque lecture. Si la collecte initiale n'expose pas ces détails, indiquez qu'ils sont inconnus au lieu d'attribuer le contexte d'une session PowerShell ultérieure à l'observation antérieure.
La référence Get-GPO de Microsoft documente la récupération avec -Name, -Guid ou -All. Un nom d'affichage en doublon provoque une erreur : utilisez donc le GUID pour le rapprochement. Son exemple de sortie comprend GpoStatus, WmiFilter, UserVersion et ComputerVersion ; chaque propriété de version présente les valeurs AD et SysVol. -Domain attend un FQDN ; -Server sélectionne un DC. Leur omission utilise une sélection du domaine dépendant de la session et l'émulateur PDC.
La référence Get-GPOReport de Microsoft documente des rapports XML ou HTML contenant les liens, le filtrage WMI, le filtrage de sécurité, la délégation et les paramètres de stratégie. Ce sont des entrées pour le rapprochement, pas un résultat de traitement sur un client. Pour les deux cmdlets, interroger un autre domaine exige une relation d'approbation avec le domaine de l'utilisateur de la session (le domaine de l'ordinateur pour les scripts de démarrage ou d'arrêt).
Utilisez une feuille de travail qui garde les deux observations visibles :
| Élément de preuve | Observation de l'inventaire | Observation indépendante | Décision de revue |
|---|---|---|---|
| Identité | GUID, domaine, nom d'affichage | GUID et domaine renvoyés par la requête | Vérifier l'identité avant de comparer les champs |
| Provenance de la lecture | DC, heure, résultat de lecture si disponibles | DC explicite, heure, résultat de la commande | Laisser inconnue toute provenance manquante |
| Filtre WMI | Valeur ou limite de collecte | Association récupérée et entrée du rapport | Distinguer l'absence de la non-collecte |
| Liens | Cibles et indicateurs collectés | Liens et périmètre indiqués dans le rapport | Examiner le périmètre et les échecs de lecture |
| Délégation | Résumé des mandataires et des droits | Délégation du rapport et preuves ACL supplémentaires | Ne pas déduire l'accès effectif |
| Versions | Valeurs disponibles ou non collectées | Versions AD et SYSVOL utilisateur/ordinateur | Conserver les écarts pour investigation |
Ajoutez une référence au fichier de preuve et un responsable pour chaque comparaison non résolue. Une capture d'écran sans GUID ou un export sans son DC doit rester une preuve incomplète. Cette fiche est un artefact de revue que vous construisez ; le détecteur d'inventaire ne produit pas tous ces champs.
Chaîne d'échec : des métadonnées inconnues deviennent une fausse assurance
Prenons un scénario de revue proposé : une GPO apparaît dans l'inventaire, son champ WMI est vide et ses liens et délégations semblent ordinaires. La personne chargée de la revue conclut que la stratégie n'a aucune restriction WMI et que le résumé de ses droits suffit à expliquer son application. Un rapport indépendant montre ensuite une association WMI que l'inventaire n'a jamais collectée.
Le problème tient à l'interprétation des preuves. Remplacer la valeur vide de l'inventaire par celle du rapport améliore la fiche de revue, mais n'établit pas quels clients satisfont le filtre. De même, un résumé de délégation ne permet pas de trancher sur les entrées Deny explicites ni de démontrer qui peut effectivement modifier la stratégie.
Un autre écart peut apparaître lorsque le rapport et l'inventaire proviennent de DC différents ou de moments différents. Conservez ces contextes avant de qualifier l'écart de dérive de configuration. Sinon, une différence de périmètre, un échec de lecture ou une observation qui évolue peut être pris pour un défaut de réplication confirmé.
Pour la question distincte de l'application, consultez le guide permettant de vérifier les droits Read et Apply des GPO et le périmètre réel des destinataires. Il distingue les autorisations de récupération des droits d'application et valide les résultats des cibles et des non-cibles. Cette feuille de métadonnées fournit des entrées qualifiées à cette investigation.
Pour la modification des stratégies, examinez les droits de modification des GPO et les liens vers les OU Tier 0. Cet article examine la frontière d'autorisations propre à la GPO. Une entrée de délégation dans l'inventaire justifie l'examen du mandataire et des objets concernés ; elle ne prouve pas un contrôle effectif sur une stratégie privilégiée.
Détection : récupérer une GPO et un rapport sur un périmètre défini
1. Identifier la cible de comparaison
Sélectionnez le GUID réel, le FQDN du domaine et le DC dans le périmètre de revue autorisé. Les valeurs ci-dessous sont des exemples, pas une infrastructure découverte. Remplacez-les avant utilisation. Exécutez les commandes dans un environnement d'administration où le module GroupPolicy est disponible ; conservez les erreurs avec les sorties réussies.
Cette requête adapte le jeu de paramètres GUID documenté de Get-GPO en fournissant Domain et Server :
Get-GPO -Guid '31a09564-cd4a-4520-98fa-446a2af23b4b' -Domain 'sales.contoso.com' -Server 'DC1'
Consignez l'identité renvoyée, l'état, les informations WMI et les paires de versions utilisateur/ordinateur. Copiez les valeurs réelles dans la feuille de travail. Ne remplacez pas une mesure par la sortie d'exemple de la documentation Microsoft.
2. Récupérer le rapport sur le même périmètre
Cette commande utilise le jeu de paramètres GUID documenté de Get-GPOReport. Sans Path, le rapport est envoyé à l'affichage :
Get-GPOReport -Guid '31a09564-cd4a-4520-98fa-446a2af23b4b' -Domain 'sales.contoso.com' -Server 'DC1' -ReportType XML
Pour une comparaison plus large, voici le modèle documenté de rapport sur toutes les GPO, avec des paramètres explicites. Utilisez un répertoire de sortie existant et approuvé :
Get-GPOReport -All -Domain 'sales.contoso.com' -Server 'DC1' -ReportType XML -Path 'C:\GPOReports\GPOReportsAll.xml'
Examinez le rapport de la stratégie concernée jusqu'à ses derniers blocs de configuration. Conservez ensemble le rapport et le contexte de la commande. Un fichier de rapport conservé d'une exécution précédente ne prouve pas la réussite d'une commande ultérieure ayant échoué.
3. Classer les différences
| Signal | Classification à consigner | Prochaine preuve nécessaire |
|---|---|---|
| Le rapport montre une association WMI ; la valeur de l'inventaire est vide | Champ de l'inventaire non collecté dans le chemin examiné | Conserver l'association et le contexte du rapport |
| Les liens diffèrent | Comparaison non résolue | Rapprocher les heures, DC, partitions et résultats de lecture |
| Les listes de délégation diffèrent | Élément à soumettre à une revue des autorisations | Examiner les ACL sous-jacentes, Deny et le contexte du mandataire |
| Les versions AD et SYSVOL diffèrent | Élément à soumettre à une investigation de cohérence | Conserver les paires utilisateur/ordinateur et les preuves de réplication |
| L'inventaire ne renvoie aucun constat GPO | Résultat de collecte inconnu sans corroboration | Établir le périmètre et la réussite de l'énumération des GPO |
| Les deux lectures réussissent et les champs concordent | Observation rapprochée pour ce périmètre et cet instant | Garder l'application sur les clients comme question distincte |
La concordance est utile, mais elle n'étend pas l'observation à tous les DC ni à tous les clients. Si la revue de DC supplémentaires est approuvée, répétez séparément les mêmes requêtes explicites et conservez une fiche distincte pour chacun. Une erreur d'autorisation reste une erreur ; elle ne doit pas devenir un décompte nul ou une valeur « absente ».
Remédiation : réparer les preuves avant de modifier la stratégie (Remediation)
1. Corriger les conclusions non étayées
Remplacez tout verdict non étayé « aucun filtre WMI », « aucun lien » ou « accès effectif en modification » par l'état inconnu ou non résolu approprié. Joignez les informations obtenues indépendamment sans écraser l'observation initiale. Cela conserve la raison de l'évolution de la revue et permet au responsable de distinguer les lacunes de collecte des changements de configuration.
2. Examiner les défauts de cohérence
Lorsque les versions ou les observations sur un périmètre défini divergent, ouvrez une investigation de réplication avec les administrateurs AD. Fournissez le GUID exact, les DC, les horodatages, les paires de versions utilisateur/ordinateur et les erreurs de lecture. Demandez une sauvegarde approuvée selon la procédure de restauration de l'organisation avant toute réparation autorisée. Un rapport est une preuve pour la revue ; il ne remplace pas une sauvegarde permettant une restauration.
Ne modifiez pas les numéros de version pour faire réussir une comparaison, ne supprimez pas une GPO pour éliminer une ligne d'inventaire inexpliquée et ne changez pas une association WMI uniquement pour remplir un champ manquant du collecteur. La feuille de travail doit décrire la stratégie observée plutôt que pousser la stratégie à ressembler à une charge utile incomplète.
3. Vérifier le résultat
Une fois que l'équipe responsable a terminé une correction approuvée, répétez Get-GPO et Get-GPOReport avec Domain et Server explicites. Consignez les nouveaux horodatages et comparez-les à la référence conservée. Clôturez chaque écart avec ses preuves, son responsable et son explication ; conservez les limites de collecte non résolues.
Si la question porte sur l'application des paramètres à un utilisateur ou à un ordinateur visé, demandez une validation distincte des résultats sur le client. Ni la concordance des métadonnées ni la génération réussie d'un rapport n'établit la stratégie résultante sur ce client.
Comment EtcSec détecte ce cas
Cette description se limite à INFO_DOMAIN_GPO_INVENTORY dans le commit 9f698083354a1cb7f625df5cb490a515823c3257 d'etc-collector. Sa méthode Detect() émet un constat Info avec Count=1 pour chaque GPO collectée. Les détails des entités affectées ne sont joints que si IncludeDetails est activé. Si aucune GPO n'a été collectée, elle renvoie nil ; cela ne prouve pas que le domaine est vide.
Le chemin LDAP GetGPOs examiné ne demande ni versionNumber ni gPCWQLFilter. GPOEntity définit explicitement WmiFilter sur une valeur vide. Interprétez cette valeur comme des métadonnées WMI non collectées, pas comme la preuve qu'aucun filtre n'est associé. Ce contrôle d'inventaire ne prouve ni la cohérence des versions AD/SYSVOL ni la stratégie résultante sur les clients.
La collecte des liens tente une recherche Sites sous un DN Configuration construit à partir de BaseDN et ignore l'erreur de cette recherche. Le moteur ignore également les erreurs renvoyées par GetGPOs, GetGPOLinks et GetGPOAcls. Par conséquent, l'absence d'objets, de liens ou d'entrées de délégation exige une confirmation indépendante de la réussite des lectures et du périmètre.
Enfin, gpoPermissions regroupe les droits par mandataire sans séparer les entrées Deny ni calculer l'accès effectif. Sa sortie est un résumé à examiner, pas un verdict d'autorisation. Utilisez la feuille de travail sur le périmètre défini et la comparaison du rapport pour qualifier ces observations.
INFO_DOMAIN_GPO_INVENTORY est un contrôle d'inventaire dans le collecteur examiné. Il est absent du catalogue des tags de vulnérabilité du site ; cet article ne porte donc aucun tag de vulnérabilité. Il vise à aider les personnes chargées de la revue à préserver les inconnues et à rapprocher les métadonnées des GPO avant de prendre une décision opérationnelle.
Explorez les pages de sécurité des identités liées à ce sujet