Como ocultar un objeto en Active Directory Users and Computers

Mediante la herramienta Active Directory Users and Computers podemos administrar objetos como computadoras, usuarios, grupos y OUs. Si por alguna razón requerimos ocultar un objeto de estos lo podemos hacer con el siguiente procedimiento:

1. Abrir la consola Active Directory Users and Computers
2. En el menu View seleccione Advanced Features
3. Seleccione el OU (objeto) a ocultar
4. Presione click derecho y seleccione properties
5. Seleccione el tab Attribute Editor
6. Presione el botón Filter y verifique que la opción Show only attributes that have values este desmarcada.
7. Busque el atributo ShowInAdvancedViewOnly
8. Presione doble click y seleccione el valor True

9. Presione el botón OK

Al hacer el procedimiento anterior el objeto estará oculto y la única forma de verlo es habilitando la opción Advanced Features del menu View.

Desktop Info - Mostrar información en tiempo real en el Desktop

Anteriormente habíamos comentado de la herramienta BGINFO para publicar información en el escritorio de la máquina. Hoy les comento de la herramienta Desktop Info.

Esta herramienta muestra información en tiempo real y los datos que deseamos mostrar en el escritorio los podemos personalizar mediante el archivo desktopinfo.ini.
Una vez personalizado debemos hacer un acceso directo (shortcut) de la herramienta en la carpeta startup de todos los usuarios, lo cual lo podemos hacer abriendo la venta de ejectuar (run) y escribir

shell:common startup

Auditando PowerShell

Para efectuar la auditoría de los comandos ejecutados en PowerShell y así poder detectar un posible ataque utilizando PowerShell en sus servidores, se recomienda habilitar la bitácora de eventos para que registre la ejecución de comandos en PowerShell. Para habilitar este registro se requiere PowerShell v3, v4 o las versiones más nuevas.

Si bien, este registro puede habilitarse para módulos de PowerShell específicos, se recomienda habilitarlo para todos los módulos (*). Lo cual puede ser de mucha utilidad cuando un atacante ha importado módulos personalizados.

Para habilitar esta bitácora siga las siguientes instrucciones:

1. Edite el GPO en donde quiere habilitar el registro

2. Expanda:

 Computer Configuration\Policies\Administrative Template\Windows Components\Windows PowerShell

3. Habilite la politica Turn on ModuleLogging

4. Presione el botón Show en Module Names

5. Digite * y presione el botón OK

6. Presione el botón OK y cierre el GPO

El registro de los eventos los podemos ver en el Event Viewer

Cómo hacer backup de los GPOs

Efectuar respaldo de los Group Policies (GPOs) es una práctica que debemos adoptar, principalmente en estructuras de dominio complejas donde hay definidas una gran cantidad de GPOs. A las cuales les hemos invertido mucho tiempo no solo investigando cuales parámetros cumplen con nuestros requerimientos tanto de seguridad como de automatización; por tal razón debemos mantener un respaldo actualizado de nuestros GPOs.

El primer método para hacer el backup es desde la consola Group Policy Management.

1. Abrimos la consola Group Policy Management que se encuentra en Administrative Tools

2. Expandimos la estructura y nos posicionamos en Group Policy Objects

3. Seleccionamos la o las políticas que deseamos respaldar y presionamos click derecho

4. Seleccionamos Backup Up

5. En Location definimos la ubicación en donde queremos que se guarde el backup

6. Presionamos el botón Back Up

Si bien este método es efectivo tiene la desventaja de que no podemos definir una tarea para que el respaldo se realice periódicamente.

Les recomiendo crear un script en powershell con el siguiente código: (Ejemplo: GPOBackup.PS1)

$date = get-date -format M.d.yyyy

$location = “C:\Backup\GroupPolicies”

New-Item -Path $location\$date -ItemType directory

Backup-Gpo -All -Path $location\$date

Una vez creado el script ir al Task Scheduler y crear un tarea para que este se ejecute con la frecuencia que es requerida.

 

 

 

Habilitar Active Directory Recycle Bin en WS2012

En algunas ocasiones puede ser necesario recuperar un objeto borrado en el Active Directory, para lo cual puede ser de mucha utilidad tener habilitada la opción del Recycle Bin o papelera.

Al igual que Windows Server 2008R2 en Windows Server 2012 es recomendado que el nivel funcional del forest se encuentra en el último nivel disponible, el cual podemos verificar ejecutando el comando de powershell Get-ADForest

En el resultado del comando anterior podemos verificar el nivel funcional en el atributo ForestMode, en caso de ser necesario elevar el nivel del forest podemos utilizar el comando de powershell sustituyendo private.cloud por el nombre del forest al que se le desea cambiar el nivel funcional.

Set-ADForestMode –Identity private.cloud -ForestMode Windows2012Forest

Habilitar el Recycle Bin o papelera lo hacemos con el comando

Enable-ADOptionalFeature "Recycle Bin Feature" -Scope ForestOrConfigurationSet -Target "private.cloud"

Por default todo objeto borrado será guardado por un máximo 180 días, según las prácticas de negocio este tiempo puede ser aumentado o disminuido. Es importante tener presente que no es posbile recuperar un  objeto que fue borrado antes de ser habilitado la opción de Recycle Bin.

Para consultar el TombstoneLifeTime utilizamos la siguiente sintaxis:

Get-ADObject "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=private,DC=cloud" –Properties TombstoneLifeTime

Nota: Si el valor es null el tiempo máximo será de 60 días.

Para modificar el TombstoneLifeTime utilizamos la siguiente sintaxis:

Set-ADObject -Identity "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=private,DC=cloud" –Partition "CN=Configuration,DC=private,DC=cloud" –Replace:@{"TombstoneLifeTime" = 365}

La recuperación de objetos la podemos hacer:

Get-ADObject -Filter {CN -like "gerardo*"} -IncludeDeletedObjects | Restore-ADObject}

El comando anterior busca en el Active Directory y recupera los objectos cuyo CN contenga "gerardo" y los restaura.
Otra forma de recuperar objetos borrados es con la consola Active Directory Administrative Center que se encuentra en el menu Tools del Server Manager.

Abierta la consola seleccionamos el dominio y el contenedor Deleted Objects

Seleccionamos el objeto a restaurar y en el panel Tasks seleccionamos la opción Restore o  Restore To para cambiar la ubicación del objeto.

Como listar todos los archivos de una unidad con un tamaño mayor a

Una tarea común, como administradores, es conocer que archivos estan consumiendo el espacio en disco de una unidad o volumen especifico.

Utiizando PowerShell podemos hacer esta tarea facil utilizando la siguiente sintaxis:

gci D:\ -rec -ErrorAction "SilentlyContinue" | where {$_.Length -gt 1000MB} | Sort-Object length -descending | Select-Object FullName, length, LastAccessTime| Out-GridView

En el ejemplo anterior todos los archivos mayores a 1000MB que se encuentren en la unidad D: seran mostrados en una ventana.