本地管理员组更改：使用 PowerShell 获取通知

想象一下这个。 您在一家以其安全实践而自豪的公司工作。 他们拥有防火墙、IDS/IPS 系统、定期执行安全审核、保持补丁更新，并拥有非常昂贵的 SIEM 产品，可以在出现可疑情况时生成警报。一位非常重要的员工正在处理他的日常业务，他的电脑上有高度敏感的数据。 我们就叫他乔治吧。乔治决定出去吃午饭，但忘记锁上电脑。这本身就是一种不好的做法，但更糟糕的是，如果周围没有人，公众就可以访问乔治的电脑。乔治吃午餐后大约 50 分钟，一个邪恶的人（我们称他为皮特）瞥见了乔治的电脑就坐在桌面屏幕上，并决定冒险一试。

皮特知道乔治可能随时回来，因此需要快速到达乔治的电脑并尽快离开。在他的电脑上，当皮特发现乔治的域帐户是本地管理员时，他在脑海中安静地快乐地跳舞。皮特现在可以完全控制这台计算机。由于皮特不知道乔治的密码，因此他决定简单地创建另一个本地用户帐户并将其放入管理员组中并获取电脑名称。皮特很快离开，看到乔治回来了。皮特知道他现在拥有那台电脑。

皮特很高兴四处看看，看看他能做些什么，他立即走向他的车，抓起他的笔记本电脑，走进大厅。碰巧椅子旁边就有一个免费的网络接入点。 “这家公司太吸引人了”，皮特想。他插上电源，尝试访问乔治的电脑，系统提示输入凭据，然后他就加入了。

您的公司是否也发生过类似的场景？您甚至知道它已经发生或将会发生吗？这里发生了很多安全问题，但其中之一没有监控本地管理员组。如果该公司定期监控该组织，他们可能会知道添加了一个未知帐户，并且现在拥有完全控制权，但他们没有这样做，乔治的电脑遭到了入侵。该公司今后如何防止这种情况发生？一种方法是通过简单、免费的 Windows PowerShell 脚本。

Windows PowerShell 是一种非常强大的脚本语言，并且有很多用途。其中用途之一是枚举本地或远程计算机上的本地用户帐户以及内置电子邮件功能。使用 PowerShell，我们可以构建一个脚本，定期查询 George（和其他）的计算机以了解本地管理员组中的更改，并在添加新成员时自动收到电子邮件。让我们看看如何做到这一点。但首先，这里演示了这个脚本的可能性。

当第一次针对几台计算机运行此命令时，它将创建跟踪成员列表的日志文件。您可以在本示例中看到，这是第一次运行，因此没有发现任何更改。

我第二次运行它，尽管日志文件已创建，但两台计算机的组成员身份都没有变化。

该脚本正在生成一个包含以下内容的 CSV 文件。请注意，MDTSERVER 计算机在本地管理员组内有两个成员，而本地主机有 4 个不同的成员。

现在，让我们向本地主机上的组添加一个成员。

我可以在最后一行看到自上次运行以来在本地主机上找到了一个新成员，并且我现在收到了一封电子邮件通知这一点。 CSV 文件也记录了此活动。

现在，我们再次运行该脚本，它会看到总共 5 个成员，但不会发送电子邮件通知。它仅通过电子邮件发送有关更改的通知，但可以轻松更改以通知任意数量的不同标准。

该脚本只是使用 PowerShell 进行审计的一个示例。如果它不符合您的需求，请将其用作模板，并根据您的意愿进行自定义。 PowerShell 是开始基本或临时审计服务的绝佳工具，但我不建议将其用于构建大型企业级审计解决方案。全面的审核解决方案应该符合要求，并且您始终可以使用 PowerShell 作为补充。