---
# System prepended metadata

title: Untitled

---

Занятие 5. Обмен данными в домене и средства мониторинга Windows
№5.1 Обмен данными в домене.
1.Настройка инстанса обмена данными.
Установим роль DFS на dc1 DFS Namespases и DFS Replication
![](https://i.imgur.com/ILLTnvS.png)
![](https://i.imgur.com/aVuzgUr.png)
![](https://i.imgur.com/2WQxbeE.png)
По аналогии делаем на dc2Занятие 5. Обмен данными в домене и средства мониторинга Windows
№5.1 Обмен данными в домене.
1.Настройка инстанса обмена данными. 

Установим роль DFS на dc1 DFS Namespases и DFS Replication
![](https://i.imgur.com/ILLTnvS.png)
![](https://i.imgur.com/aVuzgUr.png)
![](https://i.imgur.com/2WQxbeE.png)

По аналогии делаем на dc2
![](https://i.imgur.com/NV79dpk.png)
![](https://i.imgur.com/ksqmFD2.png)

Зайдём в управление DFS
![](https://i.imgur.com/ZUYu8ju.png)

Создадим новый namespace
![](https://i.imgur.com/YdJypco.png)

Назмачим dc1  сервером имён для DFS
![](https://i.imgur.com/0xoFFBc.png) 

Создадим имя создаваемого пространства и перейдём в edit settings
![](https://i.imgur.com/igR4mCH.png)

Назначаем кастомные права, указав возможность чтения и записи для всех пользователей

![](https://i.imgur.com/b4nNkuM.png)

Создадим пространство имён
![](https://i.imgur.com/rCQITEd.png) 

Проверка созданного пути
![](https://i.imgur.com/LIhzZ1E.png)

Создадим папку share
![](https://i.imgur.com/jwRSfmO.png)

Создадим внутри папуи по отделам и  папку all_share
![](https://i.imgur.com/0PtkMae.png)

Каждую папку отдела делаем сетевой. На примере папки Buhg показана демонстрация.
![](https://i.imgur.com/J7k00EN.png)

Выбираем вкладку sharing, а затем пунк advanced sharing.
Выбираем пункт advanced sharing и активируем доступ.Вконце имени сетевой папки ставим знак $.
![](https://i.imgur.com/ad4eVjH.png)

Далее идём в  пунк permissions для выставление прав доступа.
![](https://i.imgur.com/CwYBNIA.png)
![](https://i.imgur.com/Kuxd5rJ.png)

Отобразиться относительный dc1 путь до папки по сети
![](https://i.imgur.com/k2L9OjM.png)

Аналогичные действия делаем для остальных папок
![](https://i.imgur.com/x5DGdJU.png)
![](https://i.imgur.com/WukHnGA.png)
![](https://i.imgur.com/arB5Hyg.png) 
![](https://i.imgur.com/JkQoB8d.png)
![](https://i.imgur.com/7RxEEZz.png) 

Cоздадим папки в DFS. В меню DFS нажмём кнопку "new folder"
![](https://i.imgur.com/xMBAQyK.png)

Указываем имя папки Buhg
![](https://i.imgur.com/Bn9HDuZ.png)

Укажем ярлык до конкретной папки
![](https://i.imgur.com/4q1mirf.png)

По сетевому пути проверяем видимость сетевых папок
![](https://i.imgur.com/OMYRWHX.png)

Изменим права security у папки Buhg
![](https://i.imgur.com/fpKyvCW.png)
![](https://i.imgur.com/iagMlFL.png)

Аналогично проделываем для других папок
![](https://i.imgur.com/cSsI8yK.png)
![](https://i.imgur.com/SNNrvIL.png) 
![](https://i.imgur.com/tPd3EAu.png)
![](https://i.imgur.com/YEWurNY.png)
![](https://i.imgur.com/bfw967z.png)

№5.2 Средства мониторинга Windows.
Управление средствами мониторинга Windows
Зайдём в настройки папки share
![](https://i.imgur.com/5So5tIo.png) 

Переходим Security -> Advanced ->Auditing ->Add. добавим правило аудита
![](https://i.imgur.com/CZd7kUB.png)

Выберем Principal - это объект, действия которого нужно логировать
Добавим группу Domain Users
![](https://i.imgur.com/GOcdxni.png)

Выставим type=all, чтобы мониторить как успех, так и отказ. Нажмём кнопку show advanced permissions
![](https://i.imgur.com/7b0ZN1e.png)


Отметим галочкой оба пункта Delete и нажмём ОК
![](https://i.imgur.com/3ZcaTG0.png)


Создайм в папке all_share папку folder-for-delete для тестирования генерации событий
![](https://i.imgur.com/AhuZsw3.png)

На pc1 от имени пользователя Olga попробуем удалить папку folder-for-delete из папки all_share
![](https://i.imgur.com/aVTVtHm.png)
![](https://i.imgur.com/E5xYYVK.png)


Проверим журнал безопасности dc1 и введём интересующие нас id событий (4656, 4659, 4660, 4663) в поле фильтра
![](https://i.imgur.com/o3VxSK7.png)
![](https://i.imgur.com/98cM9Ad.png)
Инфраструктура отправки журналов Windows в SIEM
Включим сервис сборщика логов и подтвердим его автостарт
![](https://i.imgur.com/qx2R6mv.png)
Настроим политику отправки журналов на logcollector. Зайдём в редактор групповой политики и создадим новую, log_delivery
![](https://i.imgur.com/wf6Zq1g.png)
Найдём пункт включения службы WinRM.Включим службу
![](https://i.imgur.com/hGs9lvu.png)
Найдём пункт настройки менеджера подписок.Активируем его
![](https://i.imgur.com/8hIkLnn.png)
![](https://i.imgur.com/r4PMCYm.png)
![](https://i.imgur.com/6SlhWaJ.png)
Применим фильтр безопасности, чтобы политика применилась только к pc1
![](https://i.imgur.com/C9PaUVX.png)
Найдём меню создания правил брандмауэра и создадим новое правило inbound
![](https://i.imgur.com/RnkVqsQ.png)
Правило создано
![](https://i.imgur.com/4V6V8A6.png)
Для настройки политики нам понадобится дескриптор безопасности журнала. Найдём его на pc1
![](https://i.imgur.com/rXKD6rQ.png)
Настроим доступ УЗ до журнала security
![](https://i.imgur.com/CfIoFfm.png)
Активируем политику и введём параметр channelAccess
![](https://i.imgur.com/b1vddfw.png)
И отдельно добавим учетную запись, которую в дальнейшем будем использовать для чтения журналов, в группу читателей журнала. Зайдём в политику локальных групп и добавим правило для локальной группы
![](https://i.imgur.com/sDrbPfq.png)
Локальная группа -- читатели журнала событий
![](https://i.imgur.com/AUEGJx1.png)
![](https://i.imgur.com/iglfRJR.png)
Применим на домен
![](https://i.imgur.com/QHmFqxW.png)
Создадим новую подписку
![](https://i.imgur.com/RF5h5xK.png)
Назовём её collector-get. Выберем PC1.
![](https://i.imgur.com/4ZU9iES.png)


Нажмём кнопку Test чтобы проверить сетевую связность
![](https://i.imgur.com/SgAEv4X.png)


Зайдём в меню select events и выберем нужные журналы
![](https://i.imgur.com/wuFYcJz.png)


Зайдём в меню Advanced, укажем для сбора УЗ администратора
![](https://i.imgur.com/uvZhQV9.png)

Подтвердим настройки, увидим созданую подписку. Проверим, нет ли ошибок. Нам нужно меню Runtime Status
![](https://i.imgur.com/SXFHFJw.png)



Увидим отсутствие ошибок
![](https://i.imgur.com/dnjpSAi.png)

Дадим доступ сетевой службе до чтения журнала безопасности, выполним команду на pc1
  ![](https://i.imgur.com/j9KfoW1.png)
  ![](https://i.imgur.com/spYeEJn.png)

Настройка сборщика логов при компьютерах-инициаторах
На сервере-коллекторе выполнить команду winrm qc

Занятие 5. Обмен данными в домене и средства мониторинга Windows
№5.1 Обмен данными в домене.
1.Настройка инстанса обмена данными.
Установим роль DFS на dc1 DFS Namespases и DFS Replication
  ![](https://i.imgur.com/ILLTnvS.png)
  ![](https://i.imgur.com/aVuzgUr.png)
  ![](https://i.imgur.com/2WQxbeE.png)
По аналогии делаем на dc2Занятие 5. Обмен данными в домене и средства мониторинга Windows
№5.1 Обмен данными в домене.
1.Настройка инстанса обмена данными. 

Установим роль DFS на dc1 DFS Namespases и DFS Replication
![](https://i.imgur.com/ILLTnvS.png)
![](https://i.imgur.com/aVuzgUr.png)
![](https://i.imgur.com/2WQxbeE.png)

По аналогии делаем на dc2
  ![](https://i.imgur.com/NV79dpk.png)
![](https://i.imgur.com/ksqmFD2.png)

Зайдём в управление DFS
![](https://i.imgur.com/ZUYu8ju.png)

Создадим новый namespace
![](https://i.imgur.com/YdJypco.png)

Назмачим dc1  сервером имён для DFS
![](https://i.imgur.com/0xoFFBc.png) 

Создадим имя создаваемого пространства и перейдём в edit settings
![](https://i.imgur.com/igR4mCH.png)

Назначаем кастомные права, указав возможность чтения и записи для всех пользователей

![](https://i.imgur.com/b4nNkuM.png)

Создадим пространство имён
![](https://i.imgur.com/rCQITEd.png) 

Проверка созданного пути
![](https://i.imgur.com/LIhzZ1E.png)

Создадим папку share
![](https://i.imgur.com/jwRSfmO.png)

Создадим внутри папуи по отделам и  папку all_share
![](https://i.imgur.com/0PtkMae.png)

Каждую папку отдела делаем сетевой. На примере папки Buhg показана демонстрация.
![](https://i.imgur.com/J7k00EN.png)

Выбираем вкладку sharing, а затем пунк advanced sharing.
Выбираем пункт advanced sharing и активируем доступ.Вконце имени сетевой папки ставим знак $.
![](https://i.imgur.com/ad4eVjH.png)

Далее идём в  пунк permissions для выставление прав доступа.
![](https://i.imgur.com/CwYBNIA.png)
![](https://i.imgur.com/Kuxd5rJ.png)

Отобразиться относительный dc1 путь до папки по сети
![](https://i.imgur.com/k2L9OjM.png)

Аналогичные действия делаем для остальных папок
![](https://i.imgur.com/x5DGdJU.png)
![](https://i.imgur.com/WukHnGA.png)
![](https://i.imgur.com/arB5Hyg.png) 
![](https://i.imgur.com/JkQoB8d.png)
![](https://i.imgur.com/7RxEEZz.png) 

Cоздадим папки в DFS. В меню DFS нажмём кнопку "new folder"
![](https://i.imgur.com/xMBAQyK.png)

Указываем имя папки Buhg
![](https://i.imgur.com/Bn9HDuZ.png)

Укажем ярлык до конкретной папки
![](https://i.imgur.com/4q1mirf.png)

По сетевому пути проверяем видимость сетевых папок
![](https://i.imgur.com/OMYRWHX.png)

Изменим права security у папки Buhg
![](https://i.imgur.com/fpKyvCW.png)
![](https://i.imgur.com/iagMlFL.png)

Аналогично проделываем для других папок
![](https://i.imgur.com/cSsI8yK.png)
![](https://i.imgur.com/SNNrvIL.png) 
![](https://i.imgur.com/tPd3EAu.png)
![](https://i.imgur.com/YEWurNY.png)
![](https://i.imgur.com/bfw967z.png)
№5.2 Средства мониторинга Windows.
Управление средствами мониторинга Windows
Зайдём в настройки папки share
![](https://i.imgur.com/5So5tIo.png) 

Переходим Security -> Advanced ->Auditing ->Add. добавим правило аудита
![](https://i.imgur.com/CZd7kUB.png)

Выберем Principal - это объект, действия которого нужно логировать
Добавим группу Domain Users
![](https://i.imgur.com/GOcdxni.png)

Выставим type=all, чтобы мониторить как успех, так и отказ. Нажмём кнопку show advanced permissions
![](https://i.imgur.com/7b0ZN1e.png)


Отметим галочкой оба пункта Delete и нажмём ОК
![](https://i.imgur.com/3ZcaTG0.png)


Создайм в папке all_share папку folder-for-delete для тестирования генерации событий
![](https://i.imgur.com/AhuZsw3.png)


На pc1 от имени пользователя Olga попробуем удалить папку folder-for-delete из папки all_share
![](https://i.imgur.com/aVTVtHm.png)
![](https://i.imgur.com/E5xYYVK.png)


Проверим журнал безопасности dc1 и введём интересующие нас id событий (4656, 4659, 4660, 4663) в поле фильтра
![](https://i.imgur.com/o3VxSK7.png)
![](https://i.imgur.com/98cM9Ad.png)



Инфраструктура отправки журналов Windows в SIEM
Включим сервис сборщика логов и подтвердим его автостарт
![](https://i.imgur.com/qx2R6mv.png)


Настроим политику отправки журналов на logcollector. Зайдём в редактор групповой политики и создадим новую, log_delivery
![](https://i.imgur.com/wf6Zq1g.png)



Найдём пункт включения службы WinRM.Включим службу
![](https://i.imgur.com/hGs9lvu.png)



Найдём пункт настройки менеджера подписок.Активируем его
![](https://i.imgur.com/8hIkLnn.png)
![](https://i.imgur.com/r4PMCYm.png)
![](https://i.imgur.com/6SlhWaJ.png)



Применим фильтр безопасности, чтобы политика применилась только к pc1
![](https://i.imgur.com/C9PaUVX.png)


Найдём меню создания правил брандмауэра и создадим новое правило inbound
![](https://i.imgur.com/RnkVqsQ.png)


Правило создано
![](https://i.imgur.com/4V6V8A6.png)


Для настройки политики нам понадобится дескриптор безопасности журнала. Найдём его на pc1
![](https://i.imgur.com/rXKD6rQ.png)



Настроим доступ УЗ до журнала security
![](https://i.imgur.com/CfIoFfm.png)


Активируем политику и введём параметр channelAccess
![](https://i.imgur.com/b1vddfw.png)



И отдельно добавим учетную запись, которую в дальнейшем будем использовать для чтения журналов, в группу читателей журнала. Зайдём в политику локальных групп и добавим правило для локальной группы
![](https://i.imgur.com/sDrbPfq.png)



Локальная группа -- читатели журнала событий
![](https://i.imgur.com/AUEGJx1.png)
![](https://i.imgur.com/iglfRJR.png)



Применим на домен
![](https://i.imgur.com/QHmFqxW.png)


Создадим новую подписку
![](https://i.imgur.com/RF5h5xK.png)


Назовём её collector-get. Выберем PC1.
![](https://i.imgur.com/4ZU9iES.png)


Нажмём кнопку Test чтобы проверить сетевую связность
![](https://i.imgur.com/SgAEv4X.png)


Зайдём в меню select events и выберем нужные журналы
![](https://i.imgur.com/wuFYcJz.png)


Зайдём в меню Advanced, укажем для сбора УЗ администратора
![](https://i.imgur.com/uvZhQV9.png)

Подтвердим настройки, увидим созданую подписку. Проверим, нет ли ошибок. Нам нужно меню Runtime Status
![](https://i.imgur.com/SXFHFJw.png)



Увидим отсутствие ошибок
![](https://i.imgur.com/dnjpSAi.png)



Дадим доступ сетевой службе до чтения журнала безопасности, выполним команду на pc1
![](https://i.imgur.com/j9KfoW1.png)
![](https://i.imgur.com/spYeEJn.png)

Настройка сборщика логов при компьютерах-инициаторах
На сервере-коллекторе выполнить команду winrm qc
 ![](https://i.imgur.com/BqyQncB.png)
На сервере-коллекторе выполняем команду wecutil qc
![](https://i.imgur.com/0xPu9jy.png)
 Включение службы WinRM
  ![](https://i.imgur.com/02nSoz0.png)
 Создаем подписку
 ![](https://i.imgur.com/QcF2HJJ.png)
![](https://i.imgur.com/sdqMkHg.png)







 














  
 