---
# System prepended metadata

title: Отчет о проделанной работе.

---

# Отчет о проделанной работе.
> Автор: Юденков Алексей


## Занятие 1
- [x] Oracle Virtualbox установлен;
- [x] Oracle Virtualbox extentions установлены;
- [x] Windows Server 2016-1 (английская версия) установлен;
- [x] Windows Server 2016-2 (русская или англ версия) установлен;
- [x] Windows 10 установлен;
- [x] Mikrotik импортирован;
- [x] На Mikrotik настроен сетевой адаптер локальной сети;
- [x] На Mikrotik настроен NAT.

![](https://i.imgur.com/yXQmwAV.png)

![](https://i.imgur.com/gofYE5L.png)

## Занятие 2
- [x] Статические адреса настроены на двух WinServer;

DC1:

![](https://i.imgur.com/ioCtKXM.png)

DC2:

![](https://i.imgur.com/55XlY0H.png)

- [x] Имена компьютеров Winserver и Win10 настроены (dc1, dc2, pc1);

DC1:

![](https://i.imgur.com/UMgWNWd.png)

DC2:

![](https://i.imgur.com/zIDYtFL.png)

WIN10:

![](https://i.imgur.com/3BwMKwZ.png)


- [x] На оба WinServer установлены роли AD, DHCP, DNS;

WS16-1:

![](https://i.imgur.com/B5kF8Sv.png)

WS16-2:

![](https://i.imgur.com/K8kW9ot.png)

- [x] WinServer en сконфигурирован как основной контроллер домена cyber-ed.local;

![](https://i.imgur.com/eFmGQIg.png)

- [x] WinServer ru сконфигурирован как второстепенный контроллер домена;

![](https://i.imgur.com/lDdE61m.png)

- [x] Win10 внесён в домен.

![](https://i.imgur.com/wfK8689.png)

- [x] Применён скрипт newadusergroups-cyber-ed.ps1 (созданы OU, пользователи и группы). Скрипт доступен по [ссылке](https://disk.yandex.ru/d/BlGUEOAe3bGAvg)

![](https://i.imgur.com/LKoEaJE.png)

- [x] По итогу в домене будет такая структура объектов:
![](https://i.imgur.com/wu3nDy8.png)

VIP:

![](https://i.imgur.com/bScB7i2.png)

Sysadmins:

![](https://i.imgur.com/MRXRWzo.png)

Progr:

![](https://i.imgur.com/NMpaLKU.png)

HR:

![](https://i.imgur.com/X49IHWi.png)

## Занятие 3
- [x] Настроен Forwarder у DNS сервера

* Настроим форвардинг DNS запросов. Форвард будет проходить через микротик.

![](https://i.imgur.com/CHa8jFZ.png)

* Перейдем в dc1 в оснастку DNS, нажмем ПКМ по DC1 и перейдем в настройки. Перейдем во вкладку форвардера и отредатируем настройки. Добавим адрес микротика и применим настройки.
Как видно на скриншоте Validated = OK

![](https://i.imgur.com/9UOGxwD.png)

- [x] Настроен пул выдачи адресов DHCP

1. Зайдем в оснастку DHCP. Раскроем меню IPv4, после чего нажмем  по IPv4 ПКМ. Нажмем New Scope.
1. Введем необходимые параметры создаваемой области в соответствии с используемыми нами сетями

![](https://i.imgur.com/57SHJba.png)

3. Активируем на Win10 получение адреса по DHCP. Проверим, что компьютер арендовал адрес со всеми необходимыми параметрами.

![](https://i.imgur.com/oRcPnEY.png)

## Занятие 4

- [x] DHCP сервер сконфигурирован на втором контроллере домена;

![](https://i.imgur.com/0ypSIRp.png)

- [x] Настроить отказоустойчивый DHCP;

* Сконфигурируем отказоустойчивость ведя необходимые параметры. Режим выбираем "Hot standby"

![](https://i.imgur.com/vgK0l6F.png)

* Получаем сообщение об успешном конфигурировании:

![](https://i.imgur.com/kGD0JAt.png)

* В DHCP scope видим активный режим отказоустойчивости для выбранного scope1

![](https://i.imgur.com/DYMEYLd.png)

- [x] Создать, сконфигурировать и применить групповую политику для расширенного файлового аудита контроллеров домена;

* Настройка политики расширенного логирования

1. Создадим политику аудита audit_services_cmd_posh
1. Перейдём в ветку “Административные шаблоны”/“Система”/“Аудит создания процессов”
1. Активируем параметр “Включить командную строку в события создания процессов”

![](https://i.imgur.com/5jeWWTT.png)

4. Перейдём в ветку “Административные шаблоны”/“Компоненты Windows”/“Windows PowerShell”
5. Выберем пункт “Включить ведение журнала и модулей”
6. Включим этот параметр для содержимого Microsoft.Powershell.*

![](https://i.imgur.com/K1rYmBI.png)

7. Применим политику на домен

![](https://i.imgur.com/kJZpKPe.png)

8. Видим логгирование действий пользователя при использовании PowerShell

![](https://i.imgur.com/DBOgM9V.png)

* Настройка политики журналирования на контроллерах домена

1. Отредактируем политику контроллеров домена (default domain controller policy)
1. Создадим новый объект правки реестра
3. Найдём параметр 15 Field Engineering в ветке реестра: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics. Этот параметр уже существует, его необходимо изменить. Изменим значение на 5. Внимание – изменяем decimal значение.

![](https://i.imgur.com/66BUPeH.png)

4. Создадим 2 новых параметра реестра в ветка реестра: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters. Имена параметров Expensive Search Results Threshold и Inefficient Search Results Threshold, значение DWORD 1. После выполнения этих действий и обновления политики в журнале Directory Service будут создаваться события с идентификатором 1644 для каждого LDAP запроса.

![](https://i.imgur.com/p36f5Jp.png)

![](https://i.imgur.com/cs0nRUL.png)

![](https://i.imgur.com/0Jz4xQr.png)

6. Создадим новый параметр в ветка реестра: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa. Имя параметра RestrictRemoteSamAuditOnlyMode, значение DWORD 1. Это журналирование попыток выгрузки членов доменных групп.

![](https://i.imgur.com/1Si2xLD.png)

- [x] Настройка сбора логов с помощью sysmon;

* Скачаем [sysmon](https://disk.yandex.ru/d/B7pCj2axBHSQxQ). По данной ссылке расположен файл конфигурации и скрипт развёртывания, который понадобится далее.
* На dc1 пройдем по пути C:\Windows\SYSVOL\sysvol\cyber-ed.local\, создадим там папку с именем Sysmon. В ней расположим файлы, скачанные ранее по ссылке.

![](https://i.imgur.com/WZ18EZY.png)

* Создадим GPO с именем Sysmon_deploy, отредактируем её, пройдя по пути Computer configuration -> Policies -> Windows Settings -> Scripts -> Startup. Добавим новый скрипт (путь таков: \\cyber-ed.local\SYSVOL\cyber-ed.local\Sysmon), этот скрипт – тот самый SysmonStartup.bat, скачанный ранее.

![](https://i.imgur.com/nSOVGPu.png)

* Применим GPO для доменных ПК и контроллеров домена.

![](https://i.imgur.com/aggMZlT.png)

* после перезагрузки видим, что sysmon присутствует в процессах всех DC и PC домена:

![](https://i.imgur.com/dJx1jli.png)

![](https://i.imgur.com/GoWTVpv.png)

![](https://i.imgur.com/8xLiQFv.png)

## Занятие 5

[]

## Занятие 6
- [x] Создана папка share
- [x] В ней расположены папки: с названиями отделов, all_share и adm_share.

![](https://i.imgur.com/gTdqA7K.png)

- [x] Эти ресурсы опубликованы (расшарены) с помощью DFS

1. создадим пространство имен на web-srv:

![](https://i.imgur.com/T7Ogfvh.png)

2. создадим в пространстве имен папки all_share, adm_share:

![](https://i.imgur.com/Hbv2n2W.png)

![](https://i.imgur.com/oG7Y0DM.png)

3. В Computer Management web-srv видим, что папки расшарены в папке share с необходимыми именами:

![](https://i.imgur.com/dLeXbN8.png)

4. Также это видно при обращении к папкам по сети:

![](https://i.imgur.com/L4bkWUw.png)

![](https://i.imgur.com/HM3UaG5.png)

- [x] Корректно настроены права безопасности этих ресурсов

1. Во время создания папок в пространстве имен зададим для них необходимые права доступа:

![](https://i.imgur.com/oGn33z0.png)

![](https://i.imgur.com/SRJysJ4.png)

2. Запустим WIN10, авторизуемся под пользователем Olga и перейдем по сети к созданным папкам:

![](https://i.imgur.com/k473fLC.png)

3. Как видим пользователь без прав администратора не может получить доступ к папке adm_share:

![](https://i.imgur.com/v5cdRqK.png)

4. К папке all_share у пользователя есть доступ на чтение и запись:

![](https://i.imgur.com/RYJuYPk.png)

- [x] Создан веб-сайт (произвольного наполнения) на IIS web-srv

1. После установки необходимых компонентов для IIS перейдем в оснастку IIS Manager

![](https://i.imgur.com/j9be2rU.png)

2. Подключимся к web-srv с необходимыми учетными данными:

![](https://i.imgur.com/lU2BYVA.png)

3. После успешного подключения мы видим дефолтный сайт данного веб-сервера и можем на него перейти из WIN10:

![](https://i.imgur.com/LW7aelu.png)

![](https://i.imgur.com/r3LZ6KW.png)

- [x] Для сайта выпущен сертификат с SAN

![](https://i.imgur.com/1TqQTjO.png)

и помещен в папку сайта

![](https://i.imgur.com/tXWu8b1.png)

- [x] Браузер win10 открывает сайт без предупреждений о нарушении безопасности

![](https://i.imgur.com/QB7KzgE.png)

![](https://i.imgur.com/Px2b0au.png)

## Занятие 7
- [x] Настроен сайт AD

![](https://i.imgur.com/WnftcHN.png)

- [x] Создан второй домен hack.local

![](https://i.imgur.com/nNQskFH.png)

- [x] Между доменами cyber-ed.local и hack.local настроено доверие

Для построения доверия необходимо, чтобы контроллеры домена видели друг друга. Настроим DNS

![](https://i.imgur.com/2LiJowc.png)

![](https://i.imgur.com/S4x00BY.png)

Настроим доверительные отношения через AD Domain and Trusts:

![](https://i.imgur.com/ZqkCWFO.png)

Как видим и на машине домена hack.local также появились доверительные отношения:

![](https://i.imgur.com/34cDTss.png)

- [x] На Win10, который находится в домене cyber-ed.local, может авторизоваться УЗ из домена hack.local

![](https://i.imgur.com/sunCNx4.png)

# Секция дополнительных заданий

## Админские:
1. Настроить репликацию DFS на обоих домен контроллерах (но лучше развернуть еще 2 вин сервера отдельно, если есть возможность). Почитать подробнее можно [тут](https://winitpro.ru/index.php/2013/09/25/ustanovka-i-nastrojka-dfs-i-replikacii-fajlov-v-windows-server-2012/).
1. Создать групповой политикой ярлык на общую сетевую папку. Ярлык расположить на пк-клиентах.
1. Создать GPO для пользователей, отдельно для каждого отдела. В GPO: выставить время бездействия до блокировки ПК, фон рабочего стола (какой душе угодно).
1. Опубликовать для пользователя софт в формате .msi (например, плеер VLC, [ссылка на FTP VLC](http://download.videolan.org/pub/videolan/vlc/3.0.8/win64/)). Опубликовать, но не устанавливать. Опубликованный софт доступен для установки пользователем, но не устанавливается сам.

![](https://i.imgur.com/lS2KVNa.png)

![](https://i.imgur.com/S1VD2DI.png)

![](https://i.imgur.com/4ugd7ej.png)

5. Создать GPO для доменных ПК: установить на них winlogbeat. [Windows MSI 64-bit (beta)](https://www.elastic.co/downloads/beats/winlogbeat)
6. Импортировать второй роутер микротик. Не забыть при этом сгенерировать для него новый мак адрес (как в настройках виртуалки в программе виртуализации, так и в настройках интерфейса в винбоксе). Настроить VRRP для обеспечения отказоустойчивости.
## ИБшные:
1. Создать с помощью WMI скрипт ([ссылка](https://www.microsoft.com/en-us/download/details.aspx?id=8572) на скачивание инструмента разработки скриптов wmi) , который будет выполняться на пользовательских (или серверных) ОС и выводить им, например, модель процессора (просто задачка для тренировки) (подсказки можно посмотреть по [ссылке](https://habr.com/ru/post/70806/)) .
1. Если захочется посложнее, то создать с помощью WMI скрипт, который соберет следующую информацию (например, в файл. Эти скрипты можно применять удаленно, чтобы собирать информацию и предоставлять для анализа как людям, так и системам):
* Вывод версии BIOS (на биос тоже выходят уязвимости, [да да](https://3dnews.ru/911351). А сбор такой информации может пригодиться для оперативного обновления)
* Вывод процессов, выполняемых на ПК (быстрый анализ виндовыми средствами при подозрении на малварь)
* Получение списка обновлений ПК (банальный мониторинг установленных КБ (патчи microsoft) для проверки применимости уязвимостей)
* Получение версии приложения, например, гуглхром, если установлен на компьютере (Опять же, важная часть патч-менеджмента)
3. Выполнить практику эксплуатации базовых уязвимостей по [ссылке](https://hackmd.io/@UncleVan/S1hZU5wgK).
4. Реализовать атаку ZeroLogon. Перед ней не забыть сделать снапшот обоих DC, иначе данная атака сломает репликацию DC.
5. Реализовать атаку «пинг смерти ipv6». Для поиска информации использовать уязвимости, опубликованные в 2020 году.