{"id":208620,"date":"2024-01-30T16:37:51","date_gmt":"2024-01-30T16:37:51","guid":{"rendered":"https:\/\/www.ninjaone.com\/script-hub\/monitorizar-cambios-en-archivo-bootconfig\/"},"modified":"2024-03-04T18:35:01","modified_gmt":"2024-03-04T18:35:01","slug":"monitorizar-cambios-en-archivo-bootconfig","status":"publish","type":"script_hub","link":"https:\/\/www.ninjaone.com\/es\/script-hub\/monitorizar-cambios-en-archivo-bootconfig\/","title":{"rendered":"C\u00f3mo monitorizar los cambios en el archivo BootConfig en Windows [PowerShell Script]"},"content":{"rendered":"

En el intrincado mundo de las TI, mantener la integridad del sistema es de suma importancia. Un componente fundamental del sistema operativo Windows es el archivo BootConfig. Monitorizar los cambios en este archivo es crucial para que los administradores de sistemas y los profesionales de TI garanticen la seguridad y estabilidad del sistema. Esta gu\u00eda profundiza en un script de PowerShell que comprueba si se han producido modificaciones en el archivo BootConfig<\/strong>, ofreciendo un enfoque proactivo para la gesti\u00f3n del sistema.<\/p>\n

Antecedentes<\/h2>\n

El archivo BootConfig en Windows es un elemento fundacional que contiene datos de configuraci\u00f3n de arranque y dicta c\u00f3mo se inicia el sistema, qu\u00e9 versiones del SO cargar y otros par\u00e1metros de arranque. Dado su papel en el proceso de arranque, cualquier cambio no autorizado o inesperado puede provocar fallos o vulnerabilidades en el sistema, lo que lo convierte en un objetivo privilegiado para los actores maliciosos o el malware. Para los profesionales de TI y los proveedores de servicios gestionados (MSP), disponer de una herramienta capaz de detectar estos cambios tiene un valor incalculable, ayudando a la gesti\u00f3n proactiva del sistema y al an\u00e1lisis forense en caso de brechas de seguridad.<\/p>\n

El script para monitorizar los cambios en el archivo BootConfig<\/h2>\n
#Requires -Version 5.1\r\n\r\n<#\r\n.SYNOPSIS\r\n    Checks if the BootConfig file was modified from last run.\r\n.DESCRIPTION\r\n    Checks if the BootConfig file was modified from last run.\r\n    On first run this will not produce an error, but will create a cache file for later comparison.\r\n.EXAMPLE\r\n    No parameters needed.\r\n.OUTPUTS\r\n    None\r\n.NOTES\r\n    Minimum OS Architecture Supported: Windows 10, Windows Server 2016\r\n    Release Notes:\r\n    Initial Release\r\nBy using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https:\/\/www.ninjaone.com\/terms-of-use.\r\n    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. \r\n    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. \r\n    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. \r\n    Warranty Disclaimer: The script is provided \u201cas is\u201d and \u201cas available\u201d, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. \r\n    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. \r\n    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. \r\n    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).\r\n#>\r\n\r\n[CmdletBinding()]\r\nparam (\r\n    # Path and file where the cache file will be saved for comparison\r\n    [string]\r\n    $CachePath = \"C:ProgramDataNinjaRMMAgentscriptingTest-BootConfig.clixml\"\r\n)\r\n\r\nbegin {\r\n    function Test-IsElevated {\r\n        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()\r\n        $p = New-Object System.Security.Principal.WindowsPrincipal($id)\r\n        $p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator)\r\n    }\r\n}\r\nprocess {\r\n    if (-not (Test-IsElevated)) {\r\n        Write-Error -Message \"Access Denied. Please run with Administrator privileges.\"\r\n        exit 1\r\n    }\r\n\r\n    # Get content and create hash of BootConfig file\r\n    $BootConfigContent = bcdedit.exe \/enum\r\n    $Stream = [IO.MemoryStream]::new([byte[]][char[]]\"$BootConfigContent\")\r\n    $BootConfigHash = Get-FileHash -InputStream $Stream -Algorithm SHA256\r\n\r\n    $Current = [PSCustomObject]@{\r\n        Content = $BootConfigContent\r\n        Hash    = $BootConfigHash\r\n    }\r\n\r\n    # Check if this is first run or not\r\n    if ($(Test-Path -Path $CachePath)) {\r\n        # Compare last content and hash\r\n        $Cache = Import-Clixml -Path $CachePath\r\n        $ContentDifference = Compare-Object -ReferenceObject $Cache.Content -DifferenceObject $Current.Content -CaseSensitive\r\n        $HashDifference = $Cache.Hash -like $Current.Hash\r\n        $Current | Export-Clixml -Path $CachePath -Force -Confirm:$false\r\n        if (-not $HashDifference) {\r\n            Write-Host \"BootConfig file has changed since last run!\"\r\n            Write-Host \"\"\r\n            $ContentDifference | ForEach-Object {\r\n                if ($_.SideIndicator -like '=>') {\r\n                    Write-Host \"Added: $($_.InputObject)\"\r\n                }\r\n                elseif ($_.SideIndicator -like '<=') {\r\n                    Write-Host \"Removed: $($_.InputObject)\"\r\n                }\r\n            }\r\n            exit 1\r\n        }\r\n    }\r\n    else {\r\n        Write-Host \"First run, saving comparison cache file.\"\r\n        $Current | Export-Clixml -Path $CachePath -Force -Confirm:$false\r\n    }\r\n    exit 0\r\n}\r\nend {}<\/pre>\n
 <\/p>\n\n
Accede a este script y a cientos m\u00e1s en el Dojo de NinjaOne<\/p>\n
Obt\u00e9n acceso<\/a><\/p>\n<\/div>\n
Desglose detallado<\/h2>\n
El script proporcionado es un script PowerShell meticulosamente dise\u00f1ado para supervisar las modificaciones en el archivo BootConfig desde su \u00faltima ejecuci\u00f3n. Aqu\u00ed tienes un desglose paso a paso m\u00e1s detallado:<\/p>\n
    \n
  1. Requisitos previos:<\/strong> el script requiere PowerShell versi\u00f3n 5.1.<\/li>\n
  2. Control de la elevaci\u00f3n de los permisos<\/strong>: antes de iniciar su funci\u00f3n principal, el script comprueba si se ejecuta con privilegios de administrador, esenciales para acceder a determinados archivos y comandos del sistema.<\/li>\n
  3. Hashing de BootConfig:<\/strong> usando el comando bcdedit<\/a>.exe \/enum, el script obtiene el contenido de BootConfig. Seguidamente, crea un hash SHA256 de este contenido, que sirve como identificador \u00fanico para ese contenido espec\u00edfico.<\/li>\n
  4. Comparaci\u00f3n de cach\u00e9s:<\/strong> a continuaci\u00f3n, el script busca un archivo de cach\u00e9 previamente guardado. Si existe, el script compara el contenido y hash actual de BootConfig con la versi\u00f3n en cach\u00e9.<\/li>\n
  5. Salida:<\/strong> si se detectan diferencias, el script proporciona una salida detallada de los cambios, especificando lo que se ha a\u00f1adido o eliminado. Si es la primera vez que se ejecuta el script, guarda los datos actuales de BootConfig para futuras comparaciones.<\/li>\n<\/ol>\n
    Posibles casos de uso<\/h2>\n