🛡️ Active Directory Health Check v2.6
🇩🇪 Deutsch | 🇬🇧 English
Un script completo de PowerShell para la verificación automatizada de la salud y seguridad de un entorno de Active Directory. Con evaluación de buenas prácticas, informe HTML con código de colores y exportación CSV.
🇩🇪 Deutsch
📑 Índice de contenidos
✨ Features
- 🎯 54 comprobaciones de buenas prácticas ordenadas temáticamente (base de DC, seguridad, estructura, monitorización)
- 🖼️ Interfaz gráfica WPF moderna (tema claro) con selección de grupos, botones de suite y elección de ruta de salida
- 🎨 Informe HTML con código de colores con panel ejecutivo (OK / WARN / CRÍTICO / INFO)
- 📊 Exportación CSV de todos los resultados de las comprobaciones
- 🖥️ Menú de inicio interactivo como alternativa para el funcionamiento en consola
- ⚡ Ejecución basada en parámetros para tareas programadas / automatización
- 📁 Ruta de salida libremente seleccionable mediante GUI o parámetro
-OutputPath
- 🔍 DCDiag con análisis de pruebas individuales (independiente del idioma DE/EN)
- 🔄 Detección de loopback para DCs locales (utiliza
localhost en lugar de FQDN)
- 📡 Lógica de omisión de ping para DCs no accesibles con fallback a WinRM
- 🌍 Independiente del idioma mediante SIDs conocidos
- 🗣️ Detección automática de idioma y conmutador de idioma DE/EN – conmutable en vivo en la GUI WPF, sobrescribible mediante el parámetro
-Language de|en
- 📝 Registro detallado (
C:\ScriptLog)
- 🔧 Estructura modular - las comprobaciones individuales pueden ejecutarse de forma específica
📋 Las 54 comprobaciones
🏗️ Infraestructura base de DC
| # | Comprobación | Descripción |
|---|
| 1 | Información del sistema del DC | SO, RAM, Uptime, Hardware |
| 2 | Servicios | NTDS, DNS, Netlogon, KDC, W32Time, DFSR |
| 3 | Pruebas DCDiag | Análisis detallado de todas las pruebas de diagnóstico del DC |
| 4 | Replicación (socios) | Estado por socio de DC |
| 4b | Errores de replicación (bosque) | Problemas de replicación en todo el bosque |
| 5 | Roles FSMO | Los 5 propietarios de roles FSMO |
| 6 | Configuración DNS | Zonas, integración AD, actualizaciones dinámicas |
| 7 | SYSVOL y NETLOGON | Accesibilidad |
| 8 | Base de datos NTDS | Tamaño, espacio libre en disco |
🔒 Seguridad: protocolos de red
| # | Comprobación | Descripción |
|---|
| 9 | Protocolos TLS (SCHANNEL) | SSL 2.0/3.0, TLS 1.0/1.1/1.2/1.3 |
| 10 | Cifrados y algoritmos | RC4, DES, MD5 y otros cifrados débiles |
| 11 | SMB1 y firma SMB | Protección contra WannaCry, firma forzada |
| 12 | NTLM / nivel de autenticación LAN Manager | LmCompatibilityLevel=5 buena práctica |
| 13 | LLMNR / NetBIOS / WPAD | Protección contra ataques Responder |
| 14 | Seguridad LDAP | Firma + Channel Binding (ADV190023) |
| 15 | Firewall de Windows | ¿Los 3 perfiles activos? |
👥 Seguridad: cuentas y Kerberos
| # | Comprobación | Descripción |
|---|
| 16 | Cuentas privilegiadas | Domain/Enterprise/Schema Admins etc. |
| 17 | Política de contraseñas | MinLen, historial, MaxAge, complejidad, bloqueo |
| 18 | Kerberos / krbtgt | Antigüedad de la contraseña (buena práctica: ≤180 días) |
| 19 | Delegación no restringida de Kerberos | Detección de riesgo de toma de control del dominio |
| 20 | Riesgo de Kerberoasting | Analizar cuentas de usuario con SPN |
| 21 | Protección LSA (RunAsPPL) | Protección contra volcado de credenciales (Mimikatz) |
🛡️ Seguridad: endurecimiento del sistema
| # | Comprobación | Descripción |
|---|
| 22 | Print Spooler en DCs | CVE-2021-34527 (PrintNightmare) |
| 23 | Actualización de certificados de Secure Boot | Estado de despliegue de Windows UEFI CA 2023 |
| 24 | Certificados | Monitorización de caducidad, comprobación de EKU |
🌐 Estructura de AD
| # | Comprobación | Descripción |
|---|
| 25 | Sitios de AD | Vista general de sitios |
| 26 | Subredes de AD | Asignación de subred a sitio |
| 27 | Relaciones de confianza | Trusts de dominio/bosque |
| 28 | Papelera de reciclaje de AD | Estado de activación de la característica |
| 29 | Tombstone Lifetime | Buena práctica ≥180 días |
| 30 | Nivel funcional de bosque/dominio | Functional Level |
| 31 | Estado de GPO | Desajuste de versión Sysvol/DS |
👤 Cuentas inactivas
| # | Comprobación | Descripción |
|---|
| 32a | Usuarios inactivos | >90 días sin inicio de sesión |
| 32b | Equipos inactivos | >90 días sin inicio de sesión |
| 32c | La contraseña nunca caduca | Comprobación de flag |
📊 Monitorización y operación
| # | Comprobación | Descripción |
|---|
| 33 | Evaluación de registros de eventos | Sistema / Directory Service / DNS (últimas 24h) |
| 34 | Sincronización horaria | PDC + DCs del dominio |
| 35 | Estado de copia de seguridad de AD | mediante repadmin /showbackup |
| 36 | Programas instalados | Inventario por DC |
| 37 | Actualizaciones de Windows | Últimas 20 actualizaciones, evaluación de antigüedad |
| 45 | Características de Windows instaladas | Roles y características instalados por DC (ServerManager) |
| 46 | Recursos compartidos SMB (Shares) | Todos los recursos compartidos incl. rutas, permisos y cifrado |
🧬 Identidad y DNS (nuevo)
| # | Comprobación | Descripción |
|---|
| 38 | Duplicados de SPN | Detección de SPNs asignados múltiples veces (conflictos de Kerberos) |
| 39 | Riesgo de AS-REP-Roasting | Usuarios sin preautenticación Kerberos |
| 40 | AdminSDHolder / deriva de AdminCount | AdminCount=1 sin pertenencia actual a grupos protegidos |
| 41 | Políticas de contraseñas específicas (FGPP) | Endurecimiento de FGPP, bloqueo y asignación de grupos objetivo |
| 42 | Higiene DNS (Aging / Scavenging) | Aging/Scavenging, zonas inversas, riesgos de actualización dinámica |
| 43 | Configuración de LAPS | Local Admin Password Solution - estado de activación, cobertura de equipos (desde Server 2019) |
| 44 | Cuentas sin AES | Encuentra cuentas con solo RC4 o sin cifrado AES (riesgo de seguridad) |
roccoammon/active-directory-health-check
