INTUNE-018: Auditoría de la implementación de scripts de PowerShell
- Plataforma
- Entra ID / M365
- Categoría
- Intune / Endpoint Management
- Severidad
- Critical
- Pilar de Zero Trust
- Devices (peso 3)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
Intune permite a los administradores implementar scripts de PowerShell en los dispositivos Windows gestionados, que se ejecutan con privilegios de nivel SYSTEM de forma predeterminada. Los scripts malintencionados o mal escritos implementados a través de este canal pueden comprometer la seguridad del dispositivo, exfiltrar datos o instalar software no autorizado en todo el conjunto de dispositivos. Todo script implementado debe revisarse en busca de implicaciones de seguridad y rastrearse para verificar su implementación autorizada.
Valor recomendado
Todos los scripts implementados revisados y aprobados mediante la gestión de cambios; los scripts se ejecutan en el contexto del usuario cuando sea posible; contenido de los scripts documentado
Remediación
Audite todos los scripts de PowerShell implementados actualmente a través de Intune y revise su contenido en busca de riesgos de seguridad, como credenciales codificadas de forma fija, descargas remotas sin restricciones o cambios de permisos excesivos. Asegúrese de que los scripts se ejecuten en el contexto del usuario en lugar del contexto SYSTEM siempre que sea posible y de que la ejecución de scripts se limite al ámbito de dispositivos mínimo necesario. Implemente un proceso de gestión de cambios para la implementación de scripts que incluya la revisión por pares del contenido del script y la aprobación formal antes de la implementación en producción.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | WARN |
| throttled | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- CM-6
- MITRE ATT&CK
- T1059.001