Puntos clave
- Activa la auditoría nativa de GPO: configura la auditoría integrada de Windows para capturar las modificaciones de GPO y OU.
- Sigue los Event ID críticos: prioriza los Event ID esenciales (5136, 5137, 5138, 5139, 5141) para identificar rápidamente los cambios relevantes en GPO, OU y permisos.
- Centraliza los registros con WEF: usa el reenvío de eventos de Windows (WEF) y el Recopilador de eventos de Windows (WEC) para consolidar los registros de cambios de política.
- Control de versiones y copias de seguridad: haz copias de seguridad y versiona las GPO periódicamente desde la consola de administración de directivas de grupo (GPMC) para revertir cambios con facilidad.
- Alertas para cambios de alto riesgo: configura alertas para los eventos prioritarios y define umbrales para las anomalías (por ejemplo, cambios fuera del horario laboral).
Los objetos de directiva de grupo (GPO) permiten aplicar políticas a gran escala de forma eficaz, pero eso también significa que un error pequeño puede tener consecuencias enormes. Saber cómo auditar los cambios en las GPO protege tu infraestructura. Y con las herramientas adecuadas, puedes aplicar control de versiones sin complicaciones y configurar alertas para una monitorización continua.
En este artículo te explicamos cómo comprobar los cambios en las GPO con soluciones nativas y te mostramos herramientas de monitorización y gestión remota (RMM) de terceros que se adaptan a las necesidades de todos tus clientes.
Cómo auditar los cambios en las GPO para mejorar la trazabilidad
Las herramientas nativas son una opción económica, pero conviene ampliar tu conjunto de herramientas para ganar eficiencia y tener en cuenta tus limitaciones técnicas antes de definir flujos de trabajo de auditoría para los clientes.
📌 Requisitos previos:
- Privilegios administrativos
- Niveles funcionales de dominio y bosque compatibles con la directiva de auditoría avanzada
- Acceso a la GPMC para revisar políticas y hacer copias de seguridad
- Infraestructura SIEM o de Recopilador de eventos de Windows para centralizar los registros
- Un recurso compartido o repositorio designado para las copias de seguridad versionadas de las GPO
- Una plantilla de registro de cambios y responsables de las revisiones y aprobaciones
Paso 1: activa la auditoría nativa de los cambios de política
Los expertos en TI pueden seguir los cambios en las GPO y en las unidades organizativas (OU) mediante la auditoría integrada del servicio de directorio en los controladores de dominio. Así se hace:
📌 Casos de uso: úsalo para capturar registros detallados de cada cambio en una GPO o en una OU.
📌 Requisitos previos: controladores de dominio con Windows Server, Education o Pro; privilegios administrativos locales y de dominio.
💡 Nota: estos permisos se corresponden con las categorías de auditoría que generan el Event ID 5136 (objeto del servicio de directorio modificado) y eventos similares.
- En un controlador de dominio, pulsa Win + R, escribe gpmc.msc y pulsa Intro para abrir la consola de administración de directivas de grupo (GPMC).
- Crea o edita una GPO vinculada a la OU Domain Controllers.
- Ve a:Configuración del equipo > Configuración de Windows > Configuración de seguridad > Configuración de directiva de auditoría avanzada > Directivas de auditoría > Acceso a DS
- Activa las siguientes políticas:
- Auditar cambios del servicio de directorio → Correcto y/o Error
- Auditar el cambio de directiva → Correcto y/o Error
- Auditar la administración de cuentas → Correcto y/o Error
- Aplica la GPO. La configuración se replicará en todos los controladores de dominio.
- Usa ADSIEDIT.msc para configurar la auditoría a nivel de objeto:
- Conéctate al contexto de nomenclatura predeterminado.
- Localiza el contenedor de destino (por ejemplo, las OU que contienen políticas de usuario).
- Haz clic derecho → Propiedades > pestaña Seguridad > Avanzadas > pestaña Auditoría.
- Añade una entidad de seguridad (por ejemplo, Domain Admins o Usuarios autenticados).
- Selecciona Correcto/Error y marca permisos como:
- Crear objetos groupPolicyContainer
- Eliminar
- Modificar permisos
- Escribir versionNumber
- Haz clic en Aceptar para guardar.
💡Nota:.En Windows 11, adsiedit.msc solo está disponible si se ha instalado RSAT (herramientas de Servicios de dominio de Active Directory) mediante Características opcionales o con Add-WindowsCapability.
Integrar soluciones de endpoints como NinjaOne refuerza la protección de las políticas más allá de las herramientas nativas, con funciones premium como alertas en tiempo real y comprobaciones del estado de los dispositivos que te ayudan a auditar los cambios en las GPO.
Paso 2: identifica los eventos que de verdad importan
Al auditar los cambios en las GPO, algunos eventos son más importantes que otros. Por eso conviene priorizar las señales relevantes para reducir la fatiga por alertas.
Usa estos Event ID clave para filtrar los eventos críticos y crear una matriz que simplifique tu auditoría de directivas de grupo:
- Cambios en GPO:
- 4739 – Directiva de dominio modificada
- 5136 – Objeto del servicio de directorio modificado (incluye ediciones de GPO)
- Cambios en OU:
- 5137 – Objeto del servicio de directorio creado (OU creada)
- 5141 – Objeto del servicio de directorio eliminado (OU eliminada)
- 5139 – Objeto del servicio de directorio movido (OU movida)
- Filtrado de seguridad y delegación:
- 4670 – Permisos de un objeto modificados
- 4732/4733 – Cambios en la pertenencia a grupos de seguridad (afectan al filtrado y la delegación de GPO)
Paso 3: centraliza y protege los registros
Centralizar los registros de los distintos controladores de dominio (DC) con el reenvío de eventos de Windows (WEF) facilita la consulta de las pruebas, mejora la visibilidad y refuerza el cumplimiento al auditar los cambios en las GPO.
📌 Casos de uso: agilizar las auditorías de registros y dar soporte a las investigaciones forenses.
📌 Requisitos previos: privilegios administrativos, sistemas unidos al dominio y Administración remota de Windows (WinRM) habilitada.
- Pulsa Win + R, escribe cmd y pulsa Ctrl + Mayús + Intro.
- Ejecuta wecutil qc para configurar el servicio Recopilador de eventos de Windows (WEC).
- Pulsa Win + R, escribe eventvwr.msc y pulsa Intro.
- Despliega Suscripciones.
- Haz clic derecho y elige Crear suscripción.
- Ponle un nombre a la suscripción.
- Configura el registro de destino como Eventos reenviados.
- Elige un modo de suscripción.
- En la mayoría de los entornos de dominio se recomienda el modo iniciado por el origen, salvo que necesites específicamente el comportamiento iniciado por el recopilador.
- Selecciona los eventos que quieres recopilar (usa la pestaña XML para filtros avanzados).
- En tus controladores de dominio, ejecuta lo siguiente en el símbolo del sistema:
winrm qc
wecutil qc
- Pulsa Win + R, escribe gpedit.msc y pulsa Ctrl + Mayús + Intro.
- Ve a:
Configuración del equipo > Plantillas administrativas > Componentes de Windows > Reenvío de eventos
- Haz doble clic en Configurar el Administrador de suscripciones de destino.
- Ponlo en Habilitado, haz clic en Mostrar y añade:
Server=http://<CollectorFQDN>:5985/wsman/SubscriptionManager/WEC,Refresh=60
Sustituye <CollectorFQDN> por el nombre de dominio completo de tu recopilador.
- Ejecuta
gpupdate /forcepara aplicar la política. - Define las suscripciones.
- Suscripción de referencia: incluye todos los dispositivos para la monitorización general.
- Suscripción de sospechosos: se centra en dispositivos de alto riesgo o con comportamiento anómalo para registrar más detalle.
- Usa PowerShell o las herramientas de análisis de tu SIEM para normalizar campos como:
- Cuenta que realiza el cambio
- Nombre distintivo (DN) del objeto de destino
- Tipo de cambio
- DC de origen
- Conserva los registros para:
- Revisiones mensuales
- Revisiones trimestrales
- Investigaciones de incidentes
Paso 4: haz copias de seguridad, versiona y compara las GPO
Prepara planes de contingencia para poder revertir cambios con seguridad y facilitar a los técnicos la revisión de versiones mientras tus equipos auditan los cambios en las GPO.
📌 Casos de uso: simplificar la revisión de cambios en las GPO para que los técnicos elaboren informes para clientes más rápido.
- Pulsa Win + R, escribe gpmc.msc y pulsa Intro.
- Haz clic derecho en Objetos de directiva de grupo y selecciona Hacer copia de seguridad de todo.
- Elige una ubicación segura (por ejemplo, un recurso compartido con acceso controlado).
- Crea un registro de cambios de GPO para poder auditarlos
- Anota el nombre de la GPO, la versión, quién la editó, el motivo y el ID del ticket.
- Compara la configuración actual con las versiones anteriores desde la consola de administración de directivas de grupo (GPMC) para analizarla rápidamente.
Paso 5: genera alertas para los cambios de alto riesgo
Al auditar los cambios en las GPO hay que actuar a tiempo. Sigue estas buenas prácticas para optimizar el proceso:
| Práctica | Valor | Ejemplo de escenario |
| Monitorizar el Event ID 5136 para detectar modificaciones de GPO | Avisa a los técnicos cuando se producen cambios en una GPO. | Un analista de SOC revisa el Visor de eventos para detectar cambios no autorizados en las políticas de contraseñas. |
| Usar PowerShell o herramientas SIEM para relacionar los GUID con los nombres de las GPO | Convierte los datos de eventos en bruto en nombres de GPO legibles para los informes importantes. | Un MSP usa PowerShell para asociar los identificadores únicos globales (GUID) de las GPO que aparecen en los registros con sus nombres descriptivos en los informes. |
| Definir umbrales de actividad inusual con un RMM | Detecta anomalías como modificaciones de GPO fuera del horario laboral; permite limitar los cambios por GPO. | Un técnico configura alertas en NinjaOne para las ediciones de GPO que se produzcan fuera del horario laboral. |
| Automatizar la creación de tickets con los detalles del evento y referencias a las copias de seguridad de las GPO | Conecta las alertas con los flujos de trabajo de resolución de tu cliente mientras auditas los cambios en las GPO. | Un sistema de soporte genera automáticamente un ticket cuando se modifica una GPO, con la información de la copia de seguridad incluida. |
Auditar las GPO también es clave para optimizar la infraestructura de identidad. Según una encuesta reciente de Forbes, el 94% de las organizaciones coincide en la importancia de modernizar Active Directory, lo que implica monitorizar de forma continua los cambios en las GPO.
Paso 6: amplía la auditoría a las OU y la delegación
Las unidades organizativas (OU) determinan el alcance de tu política y cómo se hereda. Al auditar los cambios en las GPO, incluye los eventos de creación, traslado y eliminación de OU en tu auditoría de directivas de grupo para obtener informes más completos.
Así también ganarás transparencia y podrás detectar la proliferación de permisos. Establece una periodicidad fija para revisar GPO y OU y asegurarte de que se aplica el principio de mínimo privilegio.
La integración con NinjaOne simplifica la auditoría de cambios en las OU
El RMM de referencia de NinjaOne ofrece soluciones ágiles para controlar el estado del parque de dispositivos y detectar desviaciones en las políticas. Así te ayuda NinjaOne a auditar los cambios en las GPO:
| Paso | Sin NinjaOne | Con NinjaOne |
| Activar la auditoría nativa de los cambios de política. | Configuración manual con gpedit.msc y adsiedit.msc; hay que definir las políticas de auditoría en cada DC. | NinjaOne mejora la visibilidad en todos los endpoints y controladores de AD con registro y alertas en tiempo real. |
| Identificar los eventos que importan al auditar los cambios en las GPO. | Los técnicos tienen que filtrar manualmente los Event ID clave desde un SIEM o desde las herramientas integradas. | NinjaOne te permite definir tus propias condiciones para los Event ID críticos, que activan automáticamente flujos de trabajo de gestión de tickets. |
| Centralizar y proteger los registros. | Requiere reconfigurar WEF y conservar manualmente los registros de cambios de política. | NinjaOne centraliza la recopilación de registros mediante la integración con SIEM (webhooks y API). |
| Hacer copias de seguridad, versionar y comparar GPO. | Los flujos manuales de copia de seguridad de GPO y la edición de hojas de cálculo aumentan los errores y los tiempos de resolución. | NinjaOne automatiza la copia de seguridad de endpoints y políticas con control de versiones, cifrado y deduplicación. |
| Generar alertas para los cambios de alto riesgo. | Exige pruebas de scripts que consumen mucho tiempo para detectar ediciones de vínculos de GPO, cambios fuera de horario y más. | El sistema de gestión de tickets de NinjaOne crea flujos de trabajo sencillos (reforzados por su biblioteca de scripts) según las condiciones de tus políticas. |
| Ampliar la auditoría a las OU y la delegación. | Auditorías manuales con Usuarios y equipos de Active Directory (ADUC) o PowerShell | NinjaOne registra los cambios de delegación y las modificaciones de OU, y facilita la búsqueda con vistas filtrables. |
Simplifica las comprobaciones de GPO con soluciones de endpoints
Monitorizar las modificaciones de las GPO garantiza el cumplimiento, la resiliencia operativa y la trazabilidad. Para auditar los cambios en las GPO, usa el registro nativo de directorio y de eventos, crea alertas desde tu SIEM o tus herramientas de monitorización, revisa los cambios de vínculos y de alcance de las GPO con la administración de directivas de grupo, incluye la actividad de las OU para tener más contexto e informa periódicamente de las métricas clave para demostrar que tienes el control.
Temas relacionados:
