Diretiva de Grupo para garantir que o psexec, o WMI remoto e o registro remoto funcionem

Question

Eu tenho pesquisado na Internet durante a semana passada a resposta à minha pergunta, mas não consegui encontrar nenhuma resposta conclusiva, então eu pergunto aqui.

Com base em sua experiência e / ou conhecimento, quais políticas podem / devem ser aplicadas por meio da Diretiva de Grupo para garantir que todos os computadores no domínio sejam gerenciáveis remotamente usando o triunvirato psexec , remoto WMI e registro remoto ?

Antecedentes da minha pergunta: quando audito os computadores no domínio, encontro computadores que não são pexíveis, ou que podem ser consultados remotamente pelo WMI ou que podem ser regeditados remotamente, ou uma combinação dos três. Isso me forçou a sempre conceber soluções alternativas, um trabalho que levava muito tempo valioso. Portanto, em vez de perder tempo novamente, prefiro reforçar a uniformidade por meio de um GPO em todo o domínio.

PS: Os alvos de operação são o Windows XP SP3 e o Windows 7 Professional / Enterprise.

    

Answer 1

Mmmm ... pensamentos:

PSExec - apenas requer que o PC remoto seja contatado via RPC e SMB. Além disso, você precisa dos direitos apropriados na outra extremidade para interagir remotamente com o Gerenciador de Controle de Serviços (isso pode ser forçado pelas Preferências da Política de Grupo). Portanto, supondo que o PC esteja operacional ...: Se o computador estiver no domínio, o Firewall do Windows deve permitir que você entre, a menos que você tenha ajustado as configurações de firewall conectadas ao domínio. Produtos antivírus podem ver o PSExec como um "Programa potencialmente indesejado". Então, possivelmente, algumas configurações do registro aqui para garantir a permissão de execução.

WMI - Novamente, o RPC precisa estar funcionando. Você pode querer forçar os serviços WMI a serem executados por meio de GPOs. Um obstáculo com o WMI é quando um produto de terceiros monitora o repositório do WMI. Visto isso so muitas vezes. A única correção é uma recompilação manual.

Registro Remoto - Novamente, RPC e privs. Além disso, você pode forçar o serviço a ser executado por meio de GPOs.