adaudit

Este script PowerShell foi projetado para realizar uma auditoria abrangente do Microsoft Active Directory, focando na identificação de vulnerabilidades e fragilidades de segurança comuns. Sua execução facilita a localização de áreas críticas que exigem reforço, fortalecendo assim sua infraestrutura contra táticas prevalentes usadas em ataques de movimento lateral ou escalonamento de privilégios direcionados ao Active Directory.

_____ ____     _____       _ _ _
|  _  |    \   |  _  |_ _ _| |_| |_
|     |  |  |  |     | | | . | |  _|
|__|__|____/   |__|__|___|___|_|_|
                 by phillips321

Se você tiver algum one-liner decente do PowerShell que possa ser usado no script, por favor me avise. Estou tentando manter este script como um único arquivo sem requisitos de ferramentas externas (além do ntdsutil e cmd.exe)

Execute diretamente em um DC usando uma conta DA. Se você não confia no código, sugiro lê-lo primeiro e verá que é tudo inofensivo! (Mas você não deveria estar fazendo isso de qualquer forma com código baixado da internet e executado como DA??)

O que isso faz

• Informações do Dispositivo
  • Get-HostDetails
• Auditoria do Domínio
  • Get-LastWUDate
  • Get-DCEval
  • Get-TimeSource
  • Get-PrivilegedGroupMembership
  • Get-MachineAccountQuota
  • Get-DefaultDomainControllersPolicy
  • Get-SMB1Support
  • Get-FunctionalLevel
  • Get-DCsNotOwnedByDA
  • Get-ReplicationType
  • Get-RecycleBinState
  • Get-CriticalServicesStatus
  • Get-RODC
• Auditoria de Confiança do Domínio
  • Get-DomainTrusts
• Auditoria de Contas de Usuário
  • Get-InactiveAccounts
  • Get-DisabledAccounts
  • Get-LockedAccounts
  • Get-AdminAccountChecks
  • Get-NULLSessions
  • Get-PrivilegedGroupAccounts
  • Get-ProtectedUsers
• Auditoria de Informações de Senha
  • Get-AccountPassDontExpire
  • Get-UserPasswordNotChangedRecently
  • Get-PasswordPolicy
  • Get-PasswordQuality
• Despeja NTDS.dit
  • Get-NTDSdit
• Auditoria de Objetos de Computador
  • Get-OldBoxes
• Auditoria de GPO (e verificação de senhas no SYSVOL)
  • Get-GPOtoFile
  • Get-GPOsPerOU
  • Get-SYSVOLXMLS
  • Get-GPOEnum
• Verificar Permissões Genéricas de Grupo no AD
  • Get-OUPerms
• Verificar Existência de LAPS no domínio
  • Get-LAPSStatus
• Verificar Existência de Políticas e Silos de Autenticação
  • Get-AuthenticationPoliciesAndSilos
• Verificar zonas DNS inseguras
  • Get-DNSZoneInsecure
• Verificar usuários e grupos recém-criados
  • Get-RecentChanges
• Verificar vulnerabilidades do ADCS, ESC1,2,3,4 e 8.
• Verificar contas kerberoastable de alto valor
• Verificar contas ASREPRoastable
• Verificar permissões ACL perigosas em Usuários, Grupos e Computadores.
• Verificar configurações LDAP e LDAPs (Assinatura, sessões nulas, etc.)

Parâmetros de Execução

Os seguintes parâmetros podem ser usados em combinação:

• -installdeps instala recursos opcionais (DSInternals)
• -hostdetails recupera o nome do host e outras informações úteis de auditoria
• -domainaudit recupera informações sobre o AD, como nível funcional
• -trusts recupera informações sobre quaisquer confianças de domínio
• -accounts identifica problemas de conta, como expiradas, desabilitadas, etc.
• -passwordpolicy recupera informações da política de senhas
• -ntds despeja o arquivo NTDS.dit usando ntdsutil
• -oldboxes identifica SOs desatualizados como XP/2003 associados ao domínio
• -gpo despeja as GPOs em XML e HTML para análise posterior
• -ouperms verifica problemas de permissão genérica em OUs
• -laps verifica se o LAPS está instalado

Suporte a Domínios Filhos

O script agora suporta totalmente domínios raiz da floresta e domínios filhos:

• Schema Admins e Enterprise Admins são tratados graciosamente em domínios filhos (onde só existem na raiz da floresta)
• O script é concluído com sucesso, com mensagens informativas adequadas para grupos que só existem na raiz da floresta
• Sem travamentos ou falhas de bloqueio devido a grupos ausentes em cenários de domínio filho
• Testado e validado em domínios filhos do Windows Server 2022

Tratamento de Erros & Robustez

O script implementa tratamento abrangente de erros em toda a sua execução:

• Funções de auditoria opcionais falham graciosamente sem bloquear a execução do script
• Erros de geração de relatórios GPO (ex: GPOs corrompidas) não impedem a conclusão de outras auditorias
• Verificações defensivas evitam exceções de arquivo não encontrado em arquivos de saída opcionais
• Mensagens claras de erro/aviso/informação distinguem entre falhas críticas e cenários esperados
• Módulos opcionais ausentes (DSInternals, LAPS, AdmPwd.PS) não impedem as funções principais de auditoria

Saída XML para Nessus

• Gera XML Nessus válido e formatado corretamente, sem necessidade de pós-processamento
• Todos os caracteres especiais são escapados adequadamente na origem (&, <, >, ", ')
• O arquivo de saída está pronto para importação direta no Nessus sem modificações manuais
• Elimina a necessidade de etapas de pós-processamento ou arquivos de saída extras

Ambientes Testados

• Validado no Windows Server 2022 (tanto domínio raiz da floresta quanto domínios filhos)
• Suporta Windows Server 2008R2 até 2022
• Gerencia com sucesso ambientes de produção complexos com GPOs corrompidas e configurações mistas