O que é uma revisão de metadados de GPO do AD?
Uma revisão de metadados de GPO do AD compara um inventário de Objetos de Política de Grupo recolhido com informações obtidas de forma independente para a mesma política, domínio e controlador de domínio. O resultado é um registo do que foi lido, do que coincide e do que permanece desconhecido. Uma GPO presente num inventário comprova um ativo observado; não comprova filtragem correta, delegação completa, versões sincronizadas ou aplicação bem-sucedida nos clientes.
Esta distinção importa quando um inventário apresenta um filtro WMI vazio ou uma lista curta de permissões. Um campo pode estar vazio porque o percurso de recolha nunca o solicitou. Tratar essa representação como uma ausência confirmada transforma uma limitação da recolha num veredito sobre a configuração. O mesmo problema surge quando uma leitura de ligações falhada parece uma política sem ligações.
O fluxo abaixo usa o inventário como ponto de partida e uma consulta de Política de Grupo com âmbito definido para corroborar os dados. Propõe uma revisão operacional, não uma auditoria executada num domínio de um cliente. Não são necessárias alterações às políticas para recolher as evidências da comparação.
Como funciona: manter a identidade junto da proveniência da leitura
Comece com um registo cuja chave seja o GUID da GPO e o domínio. Preserve o nome de apresentação para facilitar a leitura, mas não o use como chave de correspondência. Acrescente o DC consultado, a hora da recolha, a fonte e o sucesso ou falha de cada leitura. Quando a recolha original não disponibiliza esses detalhes, marque-os como desconhecidos, em vez de atribuir o contexto de uma sessão PowerShell posterior à observação anterior.
A referência de Get-GPO da Microsoft documenta a obtenção com -Name, -Guid ou -All. Um nome de apresentação duplicado causa um erro, pelo que deve usar o GUID para a reconciliação. A saída de exemplo inclui GpoStatus, WmiFilter, UserVersion e ComputerVersion; cada propriedade de versão mostra valores de AD e SysVol. -Domain recebe um FQDN; -Server seleciona um DC. Se forem omitidos, são usados uma seleção de domínio dependente da sessão e o emulador PDC.
A referência de Get-GPOReport da Microsoft documenta relatórios XML ou HTML com ligações, filtragem WMI, filtragem de segurança, delegação e definições de políticas. Estes dados servem para a reconciliação, não são um resultado de processamento num cliente. Para ambos os cmdlets, consultar um domínio diferente exige uma relação de confiança com o domínio do utilizador da sessão (o domínio do computador para scripts de arranque ou encerramento).
Use uma folha de trabalho que mantenha ambas as observações visíveis:
| Evidência | Observação do inventário | Observação independente | Decisão da revisão |
|---|---|---|---|
| Identidade | GUID, domínio, nome de apresentação | GUID e domínio devolvidos pela consulta | Confirmar a identidade antes de comparar campos |
| Proveniência da leitura | DC, hora, resultado da leitura se disponível | DC explícito, hora, resultado do comando | Manter a proveniência em falta como desconhecida |
| Filtro WMI | Valor ou limitação da recolha | Associação obtida e entrada no relatório | Distinguir ausente de não recolhido |
| Ligações | Destinos e sinalizadores recolhidos | Ligações e âmbito apresentados no relatório | Investigar o âmbito e as falhas de leitura |
| Delegação | Titulares e direitos resumidos | Delegação do relatório e outras evidências de ACL | Não inferir acesso efetivo |
| Versões | Valores disponíveis ou não recolhidos | Versões AD e SYSVOL de utilizador/computador | Preservar diferenças para investigação |
Acrescente uma referência ao ficheiro de evidência e um responsável a cada comparação por resolver. Uma captura de ecrã sem o GUID ou uma exportação sem o respetivo DC deve continuar a ser considerada evidência incompleta. Este registo é um artefacto de revisão que constrói; o detetor de inventário não produz todos estes campos.
A cadeia de falha: metadados desconhecidos tornam-se uma falsa garantia
Considere um cenário de revisão proposto: uma GPO aparece no inventário, o seu campo WMI está vazio e as suas ligações e delegações parecem normais. O revisor conclui que a política não tem restrição WMI e que os direitos resumidos são suficientes para explicar a aplicação. Um relatório independente mostra depois uma associação WMI que o inventário nunca recolheu.
O problema está na interpretação das evidências. Substituir o valor vazio do inventário pelo valor do relatório melhora o registo de revisão, mas não determina quais os clientes que satisfazem o filtro. Da mesma forma, um resumo de delegação não resolve entradas Deny explícitas nem demonstra quem pode realmente editar a política.
Pode surgir uma diferença distinta quando o relatório e o inventário foram obtidos de DCs diferentes ou em momentos diferentes. Preserve esses contextos antes de classificar a diferença como desvio de configuração. Caso contrário, uma diferença de âmbito, uma leitura falhada ou uma observação em mudança pode ser confundida com uma falha de replicação confirmada.
Para a questão separada da aplicação, use o guia para verificar Read, Apply e o âmbito real dos destinatários da GPO. Este distingue permissões de obtenção de direitos de aplicação e valida resultados para destinatários visados e não visados. Esta folha de metadados fornece dados qualificados para essa investigação.
Para editar políticas, reveja os direitos de edição de GPO e as ligações a OUs de Tier 0. Esse artigo examina o limite de permissões da própria GPO. Uma entrada de delegação no inventário é um motivo para inspecionar o titular e os objetos relevantes, não uma prova de controlo efetivo sobre uma política privilegiada.
Deteção: obter uma GPO e um relatório com âmbito definido
1. Identificar o alvo da comparação
Selecione o GUID real, o FQDN do domínio e o DC a partir do âmbito autorizado da revisão. Os valores abaixo são exemplos, não infraestrutura descoberta. Substitua-os antes de os usar. Execute os comandos num ambiente administrativo com o módulo GroupPolicy disponível; preserve os erros juntamente com a saída bem-sucedida.
Esta consulta adapta o conjunto documentado de parâmetros GUID de Get-GPO, fornecendo Domain e Server:
Get-GPO -Guid '31a09564-cd4a-4520-98fa-446a2af23b4b' -Domain 'sales.contoso.com' -Server 'DC1'
Registe a identidade, o estado, as informações WMI e os pares de versões de utilizador/computador devolvidos. Copie os valores reais para a folha de trabalho. Não substitua uma medição pela saída de exemplo da documentação da Microsoft.
2. Obter o relatório do mesmo âmbito
Este comando usa o conjunto documentado de parâmetros GUID de Get-GPOReport. Sem Path, o relatório é apresentado no ecrã:
Get-GPOReport -Guid '31a09564-cd4a-4520-98fa-446a2af23b4b' -Domain 'sales.contoso.com' -Server 'DC1' -ReportType XML
Para uma comparação mais ampla, o seguinte é o padrão documentado de relatório de todas as GPOs, expresso com parâmetros explícitos. Use um diretório de saída existente e aprovado:
Get-GPOReport -All -Domain 'sales.contoso.com' -Server 'DC1' -ReportType XML -Path 'C:\GPOReports\GPOReportsAll.xml'
Reveja o relatório da política relevante até aos seus blocos finais de configuração. Preserve o relatório e o contexto do comando em conjunto. Um ficheiro de relatório que permaneça de uma execução anterior não é evidência de que um comando posterior que falhou tenha sido bem-sucedido.
3. Classificar as diferenças
| Sinal | Classificação a registar | Próxima evidência necessária |
|---|---|---|
| Relatório mostra associação WMI; valor do inventário vazio | Campo do inventário não recolhido no percurso revisto | Preservar a associação e o contexto do relatório |
| Ligações diferentes | Comparação por resolver | Conciliar horas, DCs, partições e resultados das leituras |
| Listas de delegação diferentes | Candidato a revisão de permissões | Inspecionar ACLs subjacentes, Deny e contexto do titular |
| Versões AD e SYSVOL diferentes | Candidato a investigação de consistência | Preservar os pares de utilizador/computador e evidências de replicação |
| Inventário não devolve resultados de GPO | Resultado da recolha desconhecido sem corroboração | Estabelecer o âmbito e a enumeração bem-sucedida de GPOs |
| Ambas as leituras têm sucesso e os campos coincidem | Observação reconciliada para esse âmbito e momento | Manter a aplicação no cliente como questão separada |
A concordância é útil, mas não estende a observação a todos os DCs ou a todos os clientes. Se forem aprovados DCs adicionais para revisão, repita as mesmas consultas explícitas separadamente e mantenha um registo distinto para cada um. Um erro de permissão continua a ser um erro; não deve transformar-se numa contagem zero ou num valor «ausente».
Correção: reparar as evidências antes de alterar a política (Remediation)
1. Corrigir conclusões sem suporte
Substitua qualquer veredito sem suporte de «sem filtro WMI», «sem ligações» ou «acesso efetivo de edição» pelo estado desconhecido ou por resolver adequado. Anexe as informações obtidas de forma independente sem substituir a observação original. Assim preserva o motivo da mudança na revisão e permite ao responsável distinguir lacunas de recolha de alterações de configuração.
2. Investigar falhas de consistência
Quando as versões ou as observações com âmbito definido discordam, abra uma investigação de replicação com os administradores do AD. Forneça o GUID exato, os DCs, os carimbos temporais, os pares de versões de utilizador/computador e os erros de leitura. Solicite uma cópia de segurança aprovada segundo o procedimento de recuperação da organização antes de qualquer reparação autorizada. Um relatório é evidência para revisão; não substitui uma cópia de segurança recuperável.
Não edite números de versão para fazer passar uma comparação, não elimine uma GPO para remover uma linha de inventário sem explicação, nem altere uma associação WMI apenas para preencher um campo em falta no coletor. A folha de trabalho deve descrever a política observada, em vez de levar a política a assemelhar-se a um payload incompleto.
3. Verificar o resultado
Depois de a equipa responsável concluir uma correção aprovada, repita Get-GPO e Get-GPOReport com Domain e Server explícitos. Registe novos carimbos temporais e compare com a referência preservada. Encerre cada discrepância com a sua evidência, responsável e explicação; mantenha as limitações de recolha por resolver.
Se a questão for saber se as definições se aplicam a um utilizador ou computador pretendido, solicite uma validação separada dos resultados no cliente. Nem a coincidência dos metadados nem a geração bem-sucedida de um relatório comprovam a política resultante nesse cliente.
Como a EtcSec deteta isto
Esta descrição limita-se a INFO_DOMAIN_GPO_INVENTORY no commit 9f698083354a1cb7f625df5cb490a515823c3257 do etc-collector. O seu Detect() emite um resultado Info com Count=1 para cada GPO recolhida. Os detalhes das entidades afetadas são anexados apenas quando IncludeDetails está ativado. Se não foram recolhidas GPOs, devolve nil; isso não prova que o domínio esteja vazio.
O percurso LDAP GetGPOs revisto não solicita versionNumber nem gPCWQLFilter. GPOEntity define explicitamente WmiFilter como um valor vazio. Interprete esse valor como metadados WMI não recolhidos, não como evidência de que não existe um filtro associado. Esta verificação de inventário não comprova a consistência das versões AD/SYSVOL nem a política resultante nos clientes.
A recolha de ligações tenta a pesquisa Sites sob um DN Configuration construído a partir de BaseDN e ignora o erro dessa pesquisa. O motor também ignora os erros devolvidos por GetGPOs, GetGPOLinks e GetGPOAcls. Por conseguinte, a ausência de ativos, ligações ou entradas de delegação exige confirmação independente de leituras bem-sucedidas e do âmbito.
Por fim, gpoPermissions agrupa direitos por titular sem separar entradas Deny nem calcular o acesso efetivo. A sua saída é um resumo a investigar, não um veredito de autorização. Use a folha de trabalho com âmbito definido e a comparação com o relatório para qualificar estas observações.
INFO_DOMAIN_GPO_INVENTORY é um controlo de inventário no coletor revisto. Está ausente do catálogo de etiquetas de vulnerabilidades do site, pelo que este artigo não contém etiquetas de vulnerabilidades. O seu propósito é ajudar os revisores a preservar os estados desconhecidos e a reconciliar os metadados de GPO antes de tomar uma decisão operacional.
Explore as paginas de identidade que sustentam este tema