Проверка локальных администраторов на машинах в домене

[xoxmodav]

Delirium, конфиденциальность - она превыше всего. Много ли безопасников из бывших ФСБшников или МВДшников в госконторах знают о существовании серых айпишников, о зарезервированных диапазонах и прочих премудростях? Сомневаюсь. Зато они точно знают как любую ерунду чуть ли не к измене родины приравнять, а затем мозг вынести начисто. Поэтому лучше чуть-чуть перебдеть, чем недобдеть. ;)

Хм... А вот это действительно интересно. У меня только одна мысль - какой то умник переименовал группу, например сделал "a" английской. Регистр букв в программе неважен, все сверяется в нижнем регистре.
Сделай так: выгрузи по проблемной машине запись в Excel, скопируй запись о администраторах домена и вставь ее в шаблон. Повтори проверку. »
Группу однозначно никто не переименовывал, но завтра интереса ради проверю.

[spkvvs]

Delirium, небольшое пожелание: оставить стиль кнопок как в системе - тогда приложение будет гармонично смотреться.

[Delirium]

Группу однозначно никто не переименовывал »
Я проверил утилиту уже в 7 разных доменах и сетях - везде администраторы домена работали корректно. Поэтому и говорю, что вероятнее всего, или опечатка, или переименование.

[Delirium]

Во вложении очередной дебаг :) Задача - запустить программу сканированием по IP диапазону(1-2 машины). После отработки выложить файл Error.txt, который появится в папке с программой.

[xoxmodav]

Delirium, ты не поверишь - включил в список "Администраторы домена" без префикса домена (доменного имени) и вуаля - всё заработало как надо. :)

[Delirium]

Хм.. логи где, error.txt ? :)

[avendeil]

вот. Результаты точно те же, почему то нет списка администраторов и эта уже мистическая ошибка с длинной меньше нуля :)

[Delirium]

avendeil, лог как раз и позволит мне отловить проблему с длиной. Буду сейчас разбирать.
Еще один вопрос - у всех домен "человеческий", т.е. DOMAIN.LOCAL, domain.ru ? Или есть домены, состоящие из одного имени(DOMAIN)?

Нашел! У тебя домен состоит из одного имени, без точки! :) Сейчас подправлю..
Во вложении подкорректированная версия, проверяйте. Если все путем, доделываю удаление пользователя/изменение пароля и на этом пока ставим точку.

Из соблюдения безопасности убрал сохранение пароля при выходе из программы, т.к. он хранился в открытом виде в файле .config.

[avendeil]

работает! Огромное спасибо :)
Кстати, домен мало того что без суффикса .local так еще и двух буквенный, что сулит мне анальные боли в будущем(будет у нас тут объединение доменов, блин). Все работает, админов выдает и указывает где не соответствует шаблону.

[Delirium]

Ну вот и чудненько, тогда я удаляю из посл. версии всю отладочную информацию, доделываю возможность убрать из администраторов и/или сменить ему пароль, и на этом утилиту можно будет считать доделанной.

[Delirium]

Выложил последнюю версию 2.3.4.
Изменения:
+ Добавлена возможность сканирования нескольких машин путем ввода их имени в список. Удобно, если надо просканировать 2-5 различных машин.
+ Добавлена возможность изменять пароль пользователю(только локальному), а также включать/отключать эту учетную запись.

Удаление из группы админов мне никак не поддается, вся документация в инете не помогает.
Из шапки темы убрал ссылку на программу, теперь она доступна только на моем сайте и на софт-каталоге oszone.net. Ссылки в шапке темы.

В связи с возросшим объемом работы функционал по удалению из группы пока будет "висеть в воздухе". Но основные функции утилита выполняет и, я считаю, этого пока достаточно :)

Спасибо всем, принимавшим участие в тестировании.

[mesmer]

Delirium,
приятно удивлен такой программой.
но смущает, что надо подставлять пароль в поле. а без этого никак?
если. был такой вопрос не пинайте за зря.

[Delirium]

но смущает, что надо подставлять пароль в поле. а без этого никак? »
Из соблюдения безопасности убрал сохранение пароля при выходе из программы, т.к. он хранился в открытом виде в файле .config. »

Можно, конечно было сделать, используя NTLM авторизацию, но далеко не каждый сидит в системе с правами доменного администратора. Именно поэтому сделано так.

[mesmer]

Delirium,
а вот, если я с правами domain admins и запускаю на своей раб. станции программу.

[Delirium]

значит введи имя и пароль и используй, имя сохраняется. лень пароль ввести? :)

[Delirium]

Опишу подробно, почему сделано именно так, а не иначе.
1. Согласно рекомендациям MS, нежелательно работать под учетной записью доменного администратора, т.к. это само по себе является брешью в безопасности.
2. Если все же это есть, то пользователь знает свой пароль.
3. Хранить пароль крайне небезопасно в конфиг-файле. А писать какую то защитку, шифровать - зачем этот лишний функционал?
4. Если использовать NTLM вход, т.е. с использованием учетных данных текущего пользователя, то всегда есть вероятность того, что посторонний человек, запустив программу, сможет начудить(отключить локальные учетки, поменять пароли). Это недопустимо, утилита предназначена в первую очередь для соблюдения безопасности в доменной структуре, а не наоборот.

Так что все просьбы включить NTLM будут отклоняться.

[mesmer]

я может что-то не понял. уж не надо серчать.
я понял так, в поле имени пользователя/пароль я ввожу имя потенциального администратора компа. дабы выявить его.так?
вот мне надо узнать. из нашего отдела ИТ, кто-нибудь себя поставил на какие-нибудь компьютеры как локальн.администратор?
т.е. ввожу имя потенциального админа "vasil", но пароль мне не известен (ну дали им возможность. чтобы они сами себе меняли). и собственно указываю сеть, где надо проверить это (весь домен не нужен).
зачем мне в это поле вводить свое имя и пароль соответсвенно?
т.е. мне нужно это. есть возможность так сделать?

[xoxmodav]

mesmer, нет - вводишь пароль доменной учётной записи с привилегиями "администраторов домена", выбираешь тех пользователей которые должны быть в группе локальных администраторов и запускаешь утилиту. Она сканирует рабочие станции сети и выводит отчёт с указанием компьютеров/серверов, на которых в группу локальных администраторов входят посторонние учётные записи. Пароль локальных администраторов или сторонних учётных записей знать при этом не нужно.

[mesmer]

так так, т.е. выбор ""выбираешь тех пользователей которые должны быть" - это где поля шаблон?
ну тогда получаю такое: произвожу сканирование (в шаблоне указаны: Administrator, Администратор, добавляю mydom\valis, больше ничего не ввожу) определенный интервал в сети (.55-60)
выдало, что:
1.55 - помечен красным нужный vasil, так же помечен красным локальный администратор, и mydom\Domain Admins
1.56 - помечен так же красным - mydom\Domain Admins, и mydom\user2

но ведь я не указывал в поиске user2
или все рекурсивно поперло и нашло, к тому же почему mydom\Domain Admins указан в найденном? И что есть левые администраторы?

Тперь главное - если я правой кнопкой "Отключить учетную запись" - выбираю. что происходит с этой учеткой?

Как все же производить удаление из группы "администраторы" на данном ПК. Идет понижение роли? до пользователя, или удаляется профиль так скажем.
И последнее: "смена пароля" - что это? есль пользователь все же из AD...

[Delirium]

mydom\valis »
красным нужный vasil »
Васил и ВаЛис - разные учетки.

В шаблоне нет mydom\Domain Admins, поэтому они и красные.

Левые - это те, которые НЕ ДОЛЖНЫ быть администраторами, т.е. те, которых нет в списке шаблонов.

если я правой кнопкой "Отключить учетную запись" - выбираю. что происходит с этой учеткой? »
То же самое, что и когда жмем опцию "отключить учетную запись" в свойствах пользователя.

Как все же производить удаление из группы "администраторы" на данном ПК »
Пока никак. Не дается мне эта опция никак.

И последнее: "смена пароля" - что это? есль пользователь все же из AD... »
Зачем менять пароль ДОМЕННОМУ пользователю? Если это необходимо, это делается из оснастки Active Directory.