Cómo utilizar PowerShell para encontrar administradores locales

En la era digital actual, la administración de sistemas y la gestión de la seguridad requieren a menudo el uso de scripts. Un aspecto vital para mantener la seguridad del sistema es realizar un seguimiento de los administradores locales en equipos Windows. El uso de PowerShell para obtener estos datos puede cambiar las reglas del juego para muchos profesionales de TI. Lee este artículo para averiguar cómo utilizar PowerShell para encontrar administradores locales. 

Antecedentes

PowerShell ha evolucionado hasta convertirse en un robusto lenguaje de scripting y shell. Especialmente para los profesionales de TI y los proveedores de servicios gestionados (MSP), los scripts como el proporcionado se vuelven indispensables. Los MSP suelen gestionar entornos de múltiples clientes, lo que dificulta la supervisión manual de cada detalle. Con los scripts para obtener información, como la lista de administradores locales, los MSP pueden garantizar que sólo las personas autorizadas tengan acceso elevado, protegiéndose contra posibles amenazas y actividades maliciosas.

El script para encontrar administradores locales

<#
.SYNOPSIS
    Updates a custom field with a list of local admins.
.DESCRIPTION
    Updates a custom field with a list of local admins.
.EXAMPLE
    No parameter needed
    
    Local Admins Found: Administrator, kbohlander, TESTDomain Admins
    Attempting to set Custom Field: LocalAdmins

PARAMETER: -CustomField "ReplaceWithAnyTextCustomField"    
    Updates the custom field you specified (defaults to "LocalAdmins"). The Custom Field needs to be writable by scripts (otherwise the script will report it as not found).

PARAMETER: -Delimiter "ReplaceWithYourDesiredDelimiter"
    Places whatever is entered encased of quotes between each user name. See below example.
.EXAMPLE
    -Delimiter " - "
    
    Local Admins Found: Administrator - kbohlander - TESTDomain Admins
    Attempting to set Custom Field: LocalAdmins
.OUTPUTS
    None
.NOTES
    Minimum OS Architecture Supported: Windows 7, Windows Server 2008
    Release Notes:
    Switched to using net localgroup as it's the most reliable. Removed PowerShell 5.1 requirement.
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
#>

[CmdletBinding()]
param (
    [Parameter()]
    [String]$CustomField = "LocalAdmins",
    [Parameter()]
    [String]$Delimiter = ', '
)

begin {
    if ($env:customFieldName -and $env:customFieldName -notlike "null") { $CustomField = $env:customFieldName }
    if ($env:delimiter -and $env:delimiter -notlike "null") { $Delimiter = $env:delimiter }
    $CheckNinjaCommand = "Ninja-Property-Set"
}
process {
    # Get objects in the Administrators group, includes user objects and groups
    $Users = net.exe localgroup "Administrators" | Where-Object { $_ -AND $_ -notmatch "command completed successfully" } | Select-Object -Skip 4

    if (-not $Users) {
        Write-Error "[Error] No user's found! This is extremely unlikely is something blocking access to 'net localgroup administrators'?"
        exit 1
    }

    Write-Host "Local Admins Found (Users & Groups): $($Users -join $Delimiter)"
    if ($(Get-Command $CheckNinjaCommand -ErrorAction SilentlyContinue).Name -like $CheckNinjaCommand -and -not [string]::IsNullOrEmpty($CustomField) -and -not [string]::IsNullOrWhiteSpace($CustomField)) {
        Write-Host "Attempting to set Custom Field: $CustomField"
        Ninja-Property-Set -Name $CustomField -Value $($Users -join $Delimiter)
    }
    else {
        Write-Warning "Unable to set customfield either due to legacy OS or this script is not running as an elevated user."
    }
}
end {
    
    
    
}

 

Análisis detallado

El script para encontrar administradores locales se inicia estableciendo los parámetros por defecto, en particular un campo personalizado llamado “LocalAdmins” y utilizando una coma como delimitador por defecto. Así es como funciona:

• Inicialización: el script comienza configurando los comandos necesarios, “Get-LocalGroupMember” para obtener los miembros del grupo local y “Ninja-Property-Set” para configurar las propiedades en NinjaOne, una conocida plataforma de gestión de TI.
• Recuperación de los administradores: en el bloque de proceso, el script comprueba si el comando “Get-LocalGroupMember” está disponible. Si es así, lo utiliza para buscar administradores locales. Si no, utiliza por defecto el comando net.exe.
• Formateo del output: tras recuperar la lista de administradores, formatea los nombres de usuario separándolos de cualquier nombre de dominio o máquina.
• Integración con NinjaOne: por último, el script comprueba si el comando “Ninja-Property-Set” está disponible y luego actualiza el campo personalizado en NinjaOne con la lista de administradores locales.

Posibles casos de uso

Imagínate que eres administrador de TI de una empresa mediana con una plantilla remota en expansión. Dado que los empleados se conectan desde distintos lugares y dispositivos, resulta crucial garantizar que sólo el personal autorizado tenga acceso administrativo. Al desplegar este script para encontrar administradores locales, un profesional de TI puede obtener la lista de todos los administradores locales en varias estaciones de trabajo, lo que le permite auditar el acceso y tomar medidas correctivas si es necesario.

Comparaciones

Aunque existen varias formas de recuperar una lista de administradores locales, como mediante interfaces gráficas de usuario o herramientas de terceros, los scripts de PowerShell ofrecen automatización, escalabilidad y fácil integración. Por ejemplo, mientras que la interfaz gráfica de usuario nativa “Gestión de equipos” permite comprobar los administradores locales en una única estación de trabajo, nuestro script para encontrar administradores locales puede ampliarse a varios equipos, lo que proporciona una forma más eficaz de obtener estos datos, especialmente para los MSP que gestionan numerosos entornos de clientes.

FAQ

• ¿Este script para encontrar administradores locales es exclusivo de Windows?
  Sí, está dirigido a equipos Windows, con soporte a partir de Windows 10 y Windows Server 2016.
• ¿Puedo cambiar el delimitador?
  Sí, el delimitador se puede personalizar mediante el parámetro -Delimiter.
• ¿Siempre necesito NinjaOne para usar este script?
  No, el script comprueba la disponibilidad del comando NinjaOne. Si no está disponible, sólo mostrará la lista y no intentará una actualización en NinjaOne.

Implicaciones

Saber quién tiene privilegios administrativos es crucial para la seguridad informática. Los administradores no autorizados o rogue pueden realizar cambios en el sistema, instalar software malicioso o acceder a información confidencial. Al supervisar y auditar periódicamente a los administradores locales, las organizaciones pueden mitigar significativamente los posibles riesgos de seguridad.

Recomendaciones

• Realiza auditorías de forma periódica: ejecuta este script periódicamente para mantener una lista actualizada de los administradores locales.
• Integra el script con una solución de supervisión: integra el output con soluciones de supervisión para recibir alertas sobre cambios en la lista de administradores locales.
• Documentación: conserva la documentación de todos los usuarios a los que se hayan concedido derechos administrativos locales, asegurándote de que existe una razón empresarial válida para cada asignación.

Reflexiones finales

Mientras que los scripts PowerShell como el que hemos visto para encontrar administradores locales facilitan enormemente el proceso de obtención y gestión de administradores locales, plataformas como NinjaOne elevan estas funcionalidades. La capacidad de integración perfecta de NinjaOne, junto con sus sólidas herramientas de gestión de TI, garantiza que los administradores de sistemas tengan siempre el control, puedan responder rápidamente a los cambios y garanticen la seguridad y el rendimiento óptimos del sistema.