# **Windows_Basic-Яртыбаш_Дмитрий-Практика-5**

# *Практическая работа №5.1 Обмен данными в домене.*
**Часть 1. Настройка инстанса обмена данными.**
* Установим роли DFS Namespaces и DFS Replication:

* Аналогично на dc2:

* Зайдем в управление DFS, создадим новое пространство имен и укажем dc1 в качестве сервера имен для DFS. Настроим кастомные права, указав возможность чтения и записи для всех пользователей:

* Успешное создание namespace:

* Убедимся в создании инстанса:

* Создадм папку share, внутри нее папки отделов и папку all_share:

* Каждую папку через ее настройки сделаем сетевой. На примере buhg:

* Выставляем права на чтение и запись для buhg-sec и domain admins, а группу everyone удаляем:

* Аналогично папке buhg, настраиваем права для остальных папок. Затем для папки all_share раздаем права на чтение и запись группе Everyone:

* Создадим папки в DFS, укажем имя папки и добавим target. На примере Buhg:

* Теперь по сетевому пути отобразились папки:

* Изменим security-права у сетевых папок. Добавим группе, к которой относится папка, права в т.ч. и на изменение. На примере папки Buhg:

---
# *Практическая работа №5.2 Средства мониторинга Windows.*
**Часть 2. Управление средствами мониторинга Windows**

* В настройках папки share добавим правило аудита:

* Укажем, что нужно логировать действия пользователей группы Domain Users, настроим срабатывание и на успешные действия, и на отказ (type=all), в advanced permissions добавим срабатывание на удаление как самой папки, так и вложенных папок и файлов:

* Создадим в all_share тестовую папку и удалим ее:

* Проверим журнал безопасности. Выставим фильтр на id событий, которые нас интересуют:

* Видим набор событий, которые вместе подтверждают факт удаления папки folder-for-delete:

**Часть 3. Инфраструктура отправки журналов Windows в SIEM**

* Через командную строку включим сервис сборщика логов и подтвердм автозапуск:

* Для отправки логов на logcollector создадим новую политику log_delivery. В ней включим службу WinRM:

* Настроим менеджер подписок. Активируем его и пропишем путь до логколлектора:

* Настроим фильтр безопасности, чтобы новая политика применялась только к pc1:

* Для того, чтобы брандмауэр windows не блокировал работу службы WinRM, добавим новое правило в политику и выберем преднастроенное. Установим его только для доменной и частной сети и разрешим подключение, после чего увидим успешно созданное правило:

* На pc1 найдем дескриптор безопасности журнала:

* Настроим доступ УЗ до журнала security:

* Активируем политику и введём параметр channelAccess из дескриптора безопасности журнала, а также доп.параметр для чтения журнала security службой network:

* Добавим правило для локальной группы читателей журнала событий, в качестве пользователей указываем админов домена:

* Применяем правило на домен:

* Для настройки прием логов на коллекторе, подтвердим в event viewer в меню подписок автоматическое включение службы и создадим новую подписку collector-get, настроим сбор логов с компьютера pc1 и проверим сетевую связность по кнопке Test:

* Несмотря на то, что правило для брандмауэра было создано через GPO, проверяем через консоль на pc1 с помощью команды *winrm qc* и разрешаем исключение брандмауэра:

* Затем через меню Select events выберем нужные журналы:

* Через меню Advanced укажем админскую учетную запись для сбора логов:

* Подтвердм настройки и в созданной подписке с помощью меню Runtime status увидим, что все выполнилось без ошибок:

* Через командную строку на pc1 дадим доступ сетевой службе до чтения журнала безопасности:

* Убедимся, что логи появились в журнале Forwarded events:

**Часть 4. Настройка сборщика логов при компьютерах-инициаторах**

* На сервере-коллекторе введем команду *winrm qc* и увидим, что на сервере служба уже запущена:

* Включим службу сборщка событий Windows командой *wecutil qc* на сервере-коллекторе:

* Теперь (аналогично с пп. 3.26 и далее) с помощью меню подписок создадим подписку, где инициатором будут компьютеры:

* Убедимся, что она также создалась без ошибок:

* После настройки сбора логов в режиме PUSH (source initiated) увидим появление нового лога. Отсутствие описания деталей лога связано с тем, что события рендерятся на удаленных компьютерах и не всегда корректно читаются на сервере-коллекторе.