Какой программой можно обнаружить локальные группы на КД в домене?

Question

[emile003]

Добрый день!

Столкнулся с задачей отсканировать контроллеры домена и компьютеры на предмет наличия локальной группы "Администратор домена" на машинах с ОС Windows XP, Windows 7, Windows 10, Windows Server 2000/2008R2/2012. Но порыскав на просторах необъятного ничего подходящего не нашел да и сформировать правильно запрос сам не смог.

Подскажите пожалуйста программку или возможность вообще такое провернуть!
Машин около 5000-6000, в ручную на каждую ломится под локальной группой "АД" нет возможности.

Зараннее спасибо!)

Comments

[Дмитрий]

на контроллерах домена нет локальных групп и пользователей

Answer 1

[CityCat4]

10-Strike

Comments

[emile003]

Спасибо!) Запробую)

Answer 2

[#]

1 - вряд ли существует отдельная программа под эту задачу, хотя возможно, подходящая фича может быть в программах для администрирования/инвентаризации/helpdesk

2 - осваивайте скриптование вообще, и wmi запросы в частности. и ваша задача сразу перестанет казаться такой пугающей

3 - а вообще, кажется, существование

локальной группы "Администратор домена"

не имеет смысла. даже если кто то создавал такие группы руками, они все равно не дают своим участникам ни каких реальных прав на объекты домена

Comments

[Павел Межуев]

2. Например get-wmiobject win32_group или Get-LocalGroup.
3. Вам не кажется, так и есть.

[emile003]

3. Она создается каждый раз когда компьютер вводят в домен.

2. Так то согласен конечно, но познания мои крайне скудны и я только начал все изучать)

1. Посмотрю, спасибо!)

[emile003]

Павел Межуев, ну мое начальство считает это определенного рода уязвимостью и он даже прав. Это регионы, нам нужно сделать так чтобы у нас не было возможности ломится на компьютеры сотрудников. Под данной группой мы как раз можем это сделать, а такой возможности у нас быть не должно. Может я чего то не понимаю или как то не правильно выражаюсь, но начальство есть начальство)

[#]

Павел Межуев, emile003,

3. Вам не кажется, так и есть.

+

3. Она создается каждый раз когда компьютер вводят в домен.

давно ушел из большого (с) и домена под рукой нет

но то что создается автоматически - трогать надо точно

Под данной группой мы как раз можем это сделать, а такой возможности у нас быть не должно.

а это уже конкретика. нормальный рабочий сценарий. но решается он не так вот прям в лоб

вам поможет или создание доменов для филлиалов, и выстраивание трастов между ними. или разнос по OU и делегирование администрирования местным админам

но тут надо понимать, что все равно требуется админ для любого объекта. иначе невозможно будет решать аварийные ситуации

можно добавить аудит доступа, и оповещение о подозрительных входах кому то ответсвенному за вопросы безопасности, а дальше разруливать административно

а еще можно сформулировать правильный вопрос, и попросить совета об актуальных практиках решения ))

[Павел Межуев]

Она создается каждый раз когда компьютер вводят в домен.

Штатно такая группа не создаётся. Это уже у вас так настроено, смотрите объекты групповых политик (gpresult в помощь). Найдите где это автоматизировано и настройте как вам надо, вплоть до удаления этой группы.

[emile003]

#,

а еще можно сформулировать правильный вопрос, и попросить совета об актуальных практиках решения ))

За этим и обратился сюда) Опыта очень мало, поэтому мысли формулирую криво, а задачу мне кинули со словами: "Ты давай учись сиди, ищи решения, подомогайся на форумах до людей". Чем и занимаюсь собственно)

мвам поможет или создание доменов для филлиалов, и выстраивание трастов между ними. или разнос по OU и делегирование администрирования местным админам

В этом и ситуация, я разослал соответственную просьбу по регионам. А в мою задачу входит найти тех негодяев кто проигнорировал мою просьбу.

но тут надо понимать, что все равно требуется админ для любого объекта. иначе невозможно будет решать аварийные ситуации

Есть решения по контракту через которые мы можем подключаться и помогать местным Администраторам, это уже не проблема.

[emile003]

Павел Межуев, да политиками это все можно править без лишнего участия моих очумелых ручек.
Этот вопрос я пока что изучаю, так как до этого политиками пользовался только чтобы накатывать Warcraft на компьютеры в кабинете информатики, а было это 9 лет назад. И делал по инструкции)

А сейчас нужно каким либо образом обнаружить наличие конкретно данной локальной группы.

[CityCat4]

они все равно не дают своим участникам ни каких реальных прав на объекты домена

Они дают права админа на комп, что приводит к возможности:
- поставить пиратку
- поменять сетевые настройки
- удалить админские шары (C$ и т.д.)
- убрать группу Domain Admins из администраторов данного компа, что приведет к тому, что для админов данный комп будет недоступен

У нас сеть конечно куда поменьше. Мы используем 10-Strite. Программа платная! (Но денег своих стоит...)