---
# System prepended metadata

title: '**Windows_Basic-Яртыбаш_Дмитрий-Практика-4**'

---

# **Windows_Basic-Яртыбаш_Дмитрий-Практика-4**

# *Практическая работа №4.1 DNS.*

* На машине WS16-1 зайдем в оснастку DNS и проверим имеющиеся DNS-записи:
![](https://i.imgur.com/LJXCAKa.png)

* Добавим в Forwarders адрес микротика для перенаправления DNS-запросов на внешние сервера, убедимся, что добавление произошло корректно, затем применим настройки:
![](https://i.imgur.com/vDcXBuD.png)

* Настроим Reverse Lookup Zone с помощью визарда:
![](https://i.imgur.com/2hW4fBr.png)

* Проверим, что обратная зона создалась:
![](https://i.imgur.com/03ZibJl.png)

---

# *Практическая работа №4.2 DHCP.*

* Из оснастки DHCP с помощью визарда создадим новую область DHCP, укажем диапазон выдаваемых адресов и маску:
![](https://i.imgur.com/KTP8cWD.png)

* Затем добавим адрес микротика в качестве шлюза:
![](https://i.imgur.com/bRIRmhB.png)

* Добавим адрес резервного домена (он же будет выполнять функции резервного DNS):
![](https://i.imgur.com/5NU8p1w.png)

* Завершим создание области, после чего она появляется в меню:
![](https://i.imgur.com/ALMUQi7.png)

* Настроим Win10 на автоматическое получение параметров сети по DHCP:
![](https://i.imgur.com/v4t5PAT.png)

* ...и проверим, что параметры получены:
![](https://i.imgur.com/2zXbDYn.png)

* Аналогично настроим kali:
![](https://i.imgur.com/Bon2zCs.png)

* Проверим факт аренды на dc1 в меню "address leases":
![](https://i.imgur.com/XLOH15b.png)

---

# *Практическая работа №4.3 Отказоустойчивый DHCP.*

* С помощью пункта Configure failover в меню созданной нами DHCP-области, настроим резервирование, укажем в качестве сервера-партнера сервер dc2:
![](https://i.imgur.com/9dgCHbh.png)

* Выставим необходимые настройки резервирования:
![](https://i.imgur.com/8BLJvcB.png)

* Увидим сообщение об успешном создании кластера: 
![](https://i.imgur.com/IoQklO0.png)

* Перейдем в dc2 и посмотрим свойства области, пункт "Отработка отказа", убедимся, что все настроилось корректно: 
![](https://i.imgur.com/gfL4ijC.png)

---

# *Практическая работа №4.4 GPO.*

1. Политика аудита
    * Увидим базовые политики в папке "Group policy object" и ссылки на них в OU, куда они были применены:
    ![](https://i.imgur.com/l2O2YFS.png)

    * Отредактируем политику контроллеров домена. Конкретнее - настроим политику компьютера Object Access:
    ![](https://i.imgur.com/PNt3NYb.png)

    * Включим аудит сетевых папок:
    ![](https://i.imgur.com/OvB6KKq.png)

    * ...и аудит файловой системы:
    ![](https://i.imgur.com/G9PMHfJ.png)

2. Политики защиты от mimikatz
    1.  Запрет Debug
        * Создадим в папке GPO новую политику "mimikatz_block_debug", перейдем в ее настройки, найдем политику debug, позволяющую обращаться с особыми правами к памяти процесса lsass. Отредактируем политику так, чтобы указанные права отладки были только у аккаунтов Администратора и ADMPetr:
        ![](https://i.imgur.com/7p3PnqG.png)

        * Применим политику ко всему домену:
        ![](https://i.imgur.com/ynT9nwg.png)
    
    3.  Защита LSA от подключения сторонних модулей. 
    Добавим в политику mimikatz_block_debug новый параметр реестра и настроим параметр, активирущий защиту LSA:
        ![](https://i.imgur.com/Y8POmby.png)

3. Настройки политик для SIEM
    1. Включение аудита командной строки и powershell
        * Создадим новый объект групповой политики: 
        ![](https://i.imgur.com/MFyB40E.png)
        
        * Перейдём в ветку "Административные шаблоны"/"Система"/"Аудит создания процессов" и активируем параметр "Включить командную строку в события создания процессов":
        ![](https://i.imgur.com/Rf2uPvM.png)

        * Перейдём в ветку "Административные шаблоны"/"Компоненты Windows"/"Windows PowerShell" и выберем пункт "Включить ведение журнала и модулей". Выберем пункт "Включить ведение журнала и модулей" и пропишем нужный параметр:
        ![](https://i.imgur.com/W6dSo0O.png)
        * Применим политику:
        ![](https://i.imgur.com/vriuEY3.png)

    2. Активация журналирования на контроллерах домена. Настройка журналирования LDAP-запросов и неудачных попыток выгрузки членов доменных групп
        * В политике контроллеров домена изменим параметр реестра:
        ![](https://i.imgur.com/QwTP2UK.jpg)
        
        * Также создадим 2 новых параметра реестра:
        ![](https://i.imgur.com/9hKrfr5.png)

            ![](https://i.imgur.com/5rdOilZ.png)

        * Настроим параметр для контроллеров домена, разрешающий только определенным пользователям выгружать членов доменных групп. Выдадим разрешения группе Администраторы и пользователю ADMPetr:
        ![](https://i.imgur.com/uP4YM7V.png)

        * Настроим журналирование попыток выгрузки, добавим ещё один параметр в реестр:
        ![](https://i.imgur.com/f4IHJ1F.png)
