Cambios en GPO y delegaciones

Una GPO no es un archivo único. Tiene dos mitades: un objeto en el directorio de Active Directory (el contenedor de la directiva, con su nombre, su número de versión y sus enlaces) y una carpeta con las plantillas y los archivos de configuración dentro del recurso compartido SYSVOL de los controladores. Las dos se replican por caminos distintos.

Eso importa en una investigación: un cambio puede dejar rastro en el registro de cambios del directorio, en la carpeta compartida o en los dos, y quien revisa debe mirar ambos.

Las organizaciones con procedimiento fijan una ventana de cambios: cuándo se puede tocar una directiva y con qué ticket. Un cambio fuera de la ventana no es por sí solo una intrusión (a veces hay una urgencia legítima), pero es la primera diferencia que hay que explicar.

Lee ventana-de-cambios.txt y compara con la última modificación de cada GPO en inventario-gpo.csv.

La delegación es la lista de permisos de una GPO: quién puede leerla, aplicarla o editarla. Es una superficie que se olvida: con los años, grupos de soporte reciben permisos de edición «para una urgencia» y nadie los quita. Cuando una directiva cambia, además de quién la cambió interesa quién más pudo haberlo hecho.

Abre delegaciones-gpo03.csv y busca el principal con permiso de edición que no está aprobado.

El alcance de una directiva depende de dónde está enlazada: se aplica a los equipos de cada unidad organizativa (OU) enlazada y de las que cuelgan de ella. Para dimensionar el incidente se suma el número de equipos de cada OU enlazada; un equipo que no está en esas OU no recibe la directiva.

Mira a qué OU está enlazada la GPO-03 en el inventario y busca el número de equipos de cada una en ou-equipos.csv.

Frente a una directiva modificada que se aplica a casi cien equipos hay que detener su efecto cuanto antes. Pero la directiva misma es evidencia: su contenido, su número de versión, los eventos y los archivos de SYSVOL cuentan qué se cambió. Desvincular o deshabilitar el enlace detiene la aplicación sin destruir nada; eliminar la directiva, o editar su contenido para «dejarlo como estaba», borra o altera lo que se quiere analizar.

Antes de cualquier acción se exporta una copia de la directiva tal como está.