GPO y configuración: lo que el dominio decide por el equipo

Las directivas de grupo se aplican en cuatro niveles, en este orden: la directiva local del equipo, la del sitio, la del dominio y las de las unidades organizativas (OU), de la más externa a la más cercana al equipo. Si dos de ellas fijan el mismo ajuste con valores distintos, gana la que se aplica después, es decir, la del nivel más cercano al equipo. Dos excepciones lo alteran: una GPO marcada como forzada gana sobre las de los niveles inferiores, y una OU puede bloquear la herencia de las superiores, salvo de las forzadas.

El analista no necesita construir la jerarquía, pero sí leerla. La tabla enlaces de la consola dice el orden de aplicación de las cuatro GPO del parque y si alguna está forzada.

Leer las GPO una por una es el camino lento. El camino corto es mirar el resultado de directivas del propio equipo, que es el que la herramienta de resultado de directivas de Windows (gpresult, o su equivalente en la consola de administración) entrega: para cada ajuste, el valor efectivo y la GPO ganadora. Ese informe es evidencia del equipo, no de la ficha de una directiva, y es el que se adjunta a un hallazgo de configuración.

En la tabla resultante hay dos servidores con el mismo ajuste, la firma de comunicaciones del servidor SMB. Los dos viven en OU distintas, y eso se nota en la columna de la GPO ganadora.

Un hallazgo de configuración tiene fecha de detección. Una GPO tiene fecha de modificación y el equipo tiene fecha de última aplicación. Si una directiva se corrigió después de detectarse el hallazgo y el equipo ya la aplicó, el valor efectivo actual probablemente ya no es el que vio el escáner: toca reescanear y cerrar con esa evidencia. Si el valor efectivo sigue siendo el que el escáner dijo, el hallazgo se confirma.

Cruza las tablas hallazgos, ajustes y resultante para los dos hallazgos de firma SMB: fechas de detección, fecha de modificación de la GPO base y valor efectivo en cada servidor.

Una GPO de unidad organizativa puede apartarse a propósito de la base del dominio: por ejemplo, para que un equipo antiguo siga funcionando. Eso no es un error, pero tampoco es una decisión sin dueño. Una excepción de configuración se documenta con quién la aprobó, la compensación mientras dure y una fecha de revisión. Sin esas tres cosas es solo una deuda que nadie mira.

Lee la tabla justificaciones para la GPO de planta. Fíjate en lo que tiene y en lo que le falta.