adaudit

Este script de PowerShell está diseñado para realizar una auditoría exhaustiva de Microsoft Active Directory, centrándose en la identificación de vulnerabilidades y debilidades de seguridad comunes. Su ejecución facilita la localización de áreas críticas que requieren refuerzo, fortaleciendo así su infraestructura contra tácticas prevalentes utilizadas en movimientos laterales o ataques de escalada de privilegios dirigidos a Active Directory.

_____ ____     _____       _ _ _
|  _  |    \   |  _  |_ _ _| |_| |_
|     |  |  |  |     | | | . | |  _|
|__|__|____/   |__|__|___|___|_|_|
                 by phillips321

Si tiene algún "one-liner" de PowerShell decente que pueda usarse en el script, hágamelo saber. Estoy tratando de mantener este script como un solo archivo sin requisitos de herramientas externas (aparte de ntdsutil y cmd.exe)

Ejecútelo directamente en un DC usando una cuenta DA. Si no confía en el código, le sugiero leerlo primero y verá que es completamente inofensivo. (Pero ¿no debería hacer eso de todos modos con el código que descarga de internet y luego ejecuta como DA?)

Qué hace esto

• Información del dispositivo
  • Get-HostDetails
• Auditoría de dominio
  • Get-LastWUDate
  • Get-DCEval
  • Get-TimeSource
  • Get-PrivilegedGroupMembership
  • Get-MachineAccountQuota
  • Get-DefaultDomainControllersPolicy
  • Get-SMB1Support
  • Get-FunctionalLevel
  • Get-DCsNotOwnedByDA
  • Get-ReplicationType
  • Get-RecycleBinState
  • Get-CriticalServicesStatus
  • Get-RODC
• Auditoría de confianzas de dominio
  • Get-DomainTrusts
• Auditoría de cuentas de usuario
  • Get-InactiveAccounts
  • Get-DisabledAccounts
  • Get-LockedAccounts
  • Get-AdminAccountChecks
  • Get-NULLSessions
  • Get-PrivilegedGroupAccounts
  • Get-ProtectedUsers
• Auditoría de información de contraseñas
  • Get-AccountPassDontExpire
  • Get-UserPasswordNotChangedRecently
  • Get-PasswordPolicy
  • Get-PasswordQuality
• Volcado de NTDS.dit
  • Get-NTDSdit
• Auditoría de objetos de equipo
  • Get-OldBoxes
• Auditoría de GPO (y comprobación de contraseñas en SYSVOL)
  • Get-GPOtoFile
  • Get-GPOsPerOU
  • Get-SYSVOLXMLS
  • Get-GPOEnum
• Comprobación de permisos genéricos de grupo en AD
  • Get-OUPerms
• Comprobación de existencia de LAPS en el dominio
  • Get-LAPSStatus
• Comprobación de existencia de políticas de autenticación y silos
  • Get-AuthenticationPoliciesAndSilos
• Comprobación de zonas DNS inseguras
  • Get-DNSZoneInsecure
• Comprobación de usuarios y grupos recién creados
  • Get-RecentChanges
• Comprobación de vulnerabilidades de ADCS, ESC1,2,3,4 y 8.
• Comprobación de cuentas kerberoastables de alto valor
• Comprobación de cuentas ASREPRoastables
• Comprobación de permisos ACL peligrosos en usuarios, grupos y equipos.
• Comprobación de configuraciones LDAP y LDAPs (firmado, sesiones nulas, etc.)

Argumentos de ejecución

Se pueden usar los siguientes modificadores en combinación:

• -installdeps instala características opcionales (DSInternals)
• -hostdetails recupera el nombre del host y otra información de auditoría útil
• -domainaudit recupera información sobre el AD, como el nivel funcional
• -trusts recupera información sobre cualquier confianza de dominio
• -accounts identifica problemas de cuentas como caducadas, deshabilitadas, etc.
• -passwordpolicy recupera información de la política de contraseñas
• -ntds vuelca el archivo NTDS.dit usando ntdsutil
• -oldboxes identifica sistemas operativos obsoletos (como XP/2003) unidos al dominio
• -gpo vuelca los GPO en XML y HTML para su posterior análisis
• -ouperms comprueba problemas de permisos genéricos de OU
• -laps comprueba si LAPS está instalado

Soporte para dominios secundarios

El script ahora soporta completamente tanto dominios raíz del bosque como dominios secundarios:

• Los grupos Schema Admins y Enterprise Admins se manejan correctamente en dominios secundarios (donde solo existen en la raíz del bosque)
• El script se completa exitosamente con mensajes informativos apropiados para grupos faltantes que solo existen en la raíz del bosque
• No hay fallos ni errores bloqueantes debido a grupos faltantes en escenarios de dominios secundarios
• Probado y validado en dominios secundarios de Windows Server 2022

Manejo de errores y robustez

El script implementa un manejo de errores exhaustivo en todo el código:

• Las funciones de auditoría opcionales fallan de manera controlada sin bloquear la ejecución del script
• Los errores de generación de informes de GPO (por ejemplo, GPO corruptos) no impiden que se completen otras auditorías
• Las comprobaciones defensivas evitan excepciones de archivo no encontrado en archivos de salida opcionales
• Mensajes claros de error/advertencia/información distinguen entre fallos críticos y escenarios esperados
• Los módulos opcionales faltantes (DSInternals, LAPS, AdmPwd.PS) no impiden las funciones de auditoría principales

Salida XML de Nessus

• Genera XML Nessus válido y correctamente formateado sin necesidad de posprocesamiento
• Todos los caracteres especiales se escapan correctamente en el origen (&, <, >, ", ')
• El archivo de salida está listo para importarse directamente en Nessus sin modificaciones manuales
• Elimina la necesidad de pasos de posprocesamiento o archivos de salida adicionales

Entornos probados

• Validado en Windows Server 2022 (tanto dominios raíz del bosque como secundarios)
• Soporta Windows Server 2008R2 hasta 2022
• Maneja exitosamente entornos de producción complejos con GPO corruptos y configuraciones mixtas