Hace muy poco nos hicieron un «Rap», o lo que antes conocíamos como un ADRAP (Risk And Helath Assessment Program for Active Directory), o sea un análisis de un Directorio Activo por parte de Microsoft para ver su situación en cuanto a Salud, riesgos, etc., Ahora se realiza desde la nube y se denomina «RAP as a Service for Active Directory»
Bueno no me enrollo mas. Recibida la visita del Ingeniero de AD y PKI de Microsoft nos dejó estas perlias para nuestro y vuestro conocimiento:
Equipos del dominio que no han cambiado su password en los últimos 30 días:
$d = [DateTime]::Today.AddDays(-30)
Get-ADComputer -Filter ‘PasswordLastSet -lt $d’ -Properties PasswordLastSet | FT Name,PasswordLastSet
Name PasswordLastSet
—- —————
SORM04 24/01/2011 16:50:05
BGTZA 05/03/2011 9:57:30
ADRAPZ 07/07/2008 19:25:03
EAVZA 08/10/2012 9:55:36
EMDZA 01/11/2012 1:20:41
EPCPA 29/03/2007 16:28:29
EPCPB 10/04/2007 12:06:24
ECODA 02/05/2010 15:16:29
PASIFAE-1 26/04/2006 9:57:50
PASIFAE-2 24/04/2006 11:02:48
RPEDA 09/03/2013 22:06:11
RBEFA 16/10/2013 3:33:03
RBEDA 13/11/2013 0:37:29
RBEPA 17/11/2013 10:58:14
ECRDB 20/11/2013 18:55:23
ECRFA 16/12/2013 20:10:19
EWEZB 06/03/2014 21:22:39
EWEZA 12/04/2014 23:01:42
EFTZZ 27/05/2014 7:15:22
ERGFA 30/03/2014 6:14:31
Demasiados sin reportar ….
Usuarios del dominio que no han cambiado su password en los últimos 180 días:
$d = [DateTime]::Today.AddDays(-180)
Get-ADUser -Filter ‘PasswordLastSet -lt $d’ -Properties PasswordLastSet | FT Name,PasswordLastSet
El resultado lo he volcado a un fichero LastPassword.xls del cual no os puedo extraer información. Sorry. Pero podeis ver una mala práctica y ejemplo del administrador….
Usuarios con Password no requerida:
Get-ADUser -Filter ‘useraccountcontrol -band 32’ -Properties useraccountcontrol | FT Name
Name
——————–
Administrador
IUSR_CAZA
IUSR_CAZAM
IWAM_CAZA
IWAM_CAZAM
En este caso solo nos sale cuentas de servidores antiguas y una de «Administrador», jejejejeje.
Usuarios que tienen configurado que su Password nunca expira:
Get-ADUser -Filter ‘useraccountcontrol -band 65536’ -Properties useraccountcontrol | FT Name | Out-File c:\useraccountcontrol.txt
Os podeis imagar el número de usuarios que me salian… he preferido dejaros solo el cmdlet.
Y este es el resultado final. No está mal para ser una DMZ:
Siento no estar últimamente «on fire» pero …. se aproximan grandes cambios en mi vida, sobre todo laboralmente hablando y …. apenas me queda tiempo para compartir con todos vosotros.
Que tengais una muy buena semana.