# Windows_Basic-Криворученко_Савелий-Практика-5
<a name="headers"><h2>5.1 Обмен данными в домене</h2></a>
#### Задачи:
##### Настроить инстанс обмена данными
> Для начала установим роль DFS на dc1
> Отметим роли DFS Namespases и DFS Replication
> Установим роли, произведем установку на резервный сервер
> Зайдём в управление DFS и создадим новый namespace
> Укажем сервер, являющийся сервером имён для DFS.
> 
> Укажем имя создаваемого пространства и перейдём в edit settings и настроим кастомные права, указав возможность чтения и записи для всех пользователей
> 
> Имя домена оставляем по умолчанию и переходим к созданию пространственных имен
> 
> Проверка, что инстанс создан, пройдя по пути
> DFS работает таким образом, что абстрагирует пользователя от прямого пути до папки. Для начала создадим обычные сетевые папки, а потом соотнесём их с DFS путями.
> Создаем папку Share и папки отделов внутри
> 
> 
> Каждую эту папку нужно сделать сетевой
>
> 
> Выставляем права на чтение и запись для buhg-sec (права -- change, read) и domain admins (права -- full control), а группу everyone удаляем.
> 
>
> путь до папки по сети относительно dc1
```
Аналогичные действия для остальных папок,
но выдавая права на группы безопасности отделов
(папке HR -- группу HR-sec на чтение запись и т.п.).
Для all_share выдать доступ на read write для группы everyone
```
---
_all_share_(properties -> sharing -> advanced sharing -> permissions for ...):
---
*HR*(properties -> sharing -> advanced sharing -> permissions for ... -> add name-sec and domain admins) :
---
*Progr* (properties -> sharing -> advanced sharing -> permissions for ... -> add name-sec and domain admins) :
---
*Sysadmins* (properties -> sharing -> advanced sharing -> permissions for ... -> add name-sec and domain admins):
---
*VIP* (properties -> sharing -> advanced sharing -> permissions for ... -> add name-sec and domain admins):
---
#### создадим папки в DFS.
> Создадим сетевой путь до папки
> Проверим
> Проделаем так со всеми папками:
> 
```
Отлично, они отобразились ლ(ಠ‿ಠლ)
```
#### Изменение прав.
> Изменим права security у папки Buhg. (Bugh -> Properties -> security -> edit -> add)
>
> 
> 
> Меняем права у остальных папок
|  |
| ------------------------------------- |
|  |
| ------------------------------------- |
|  |
| ------------------------------------- |
|  |
| ------------------------------------- |
|  |
#### ДОП ЗАДАНИЕ
>настроить репликацию DFS на dc2.
>
*для закрепления материала, настроил репликацию на обоих машинах*
---
<a name="headers"><h2>5.2 Обмен данными в домене и средства мониторинга Windows</h2></a>
#### Задачи:
* ##### Настроить файловый ресурс с целью журналирования событий удаления объектов
* ##### Настроить отправку журналов с помощью инструментария windows в соответствии с методическими материалами
* ##### Настроить сборщик журналов
---
## 1. Управление средствами мониторинга Windows
> настройкой логирования удаления файлов с сетевых файловых ресурсов на dc1(share -> Security -> Advanced -> auditing -> add)
> 
> настроим правило вручную
> 
> Создадим правило
> 
> Правило создано для папки share, а так же всех её вложенных папок и файлов
> 
**Проверим работоспособность**
> Для этого создадим папку
> Зайдем на win 10 под Ольгой и удалим папку
> 
> Найдем событие в журнале событий, Применим фильтр по ID, потому что совершаемых действий много
> 
---
> Из всех событий, нас интересуют только 3
> 1.
> 
4656 - запрос дескриптора объекта. Это проверка прав доступа к файлу. Это событие показывает, что доступ был запрошен и результаты запроса, но не показывает, что операция была выполнена.
---
> 2.
> 
4663 -- это событие указывает на то, что над объектом была выполнена определенная операция. Основное отличие от 4656 является то, что 4663 показывает, что право доступа было использовано вместо только что запрошенного, и 4663 не имеет событий отказа.
---
3.
>
4660 -- это событие генерируется при удалении объекта. Оно не содержит имени удаляемого объекта, а только handle id.
---
## 2. Инфраструктура отправки журналов Windows в SIEM
>Включим сервис сборщика логов и подтвердим его автостарт
>
>Настроим политику отправки журналов на logcollector. Зайдём в редактор групповой политики и создадим новую, log_delivery
>
>Найдём пункт включения службы WinRM и включим ее:
>
> Найдём пункт настройки менеджера подписок и активируем его, настроив путь до логколлектора
> 
> Сохраним и закроем меню редактирование политики. Применим фильтр безопасности, чтобы политика применилась только к pc1.
> Выберем объект для поиска pc1
> 
>Удалим группу аутентифицированных пользователей
>
####Изменим политику сбора логов так, чтобы правило было прописано на pc1.
>Найдём меню создания правил брандмауэра и создадим новое правило inbound
>
 Для частной сети
| После применения порт на PC1 откроется и позволит выполнять команды, которые собирают логи с машин.|
| -------- |
>
>Настроим доступ УЗ до журнала security
>
>Активируем политику и введём параметр channelAccess
>И отдельно добавим учетную запись, которую в дальнейшем будем использовать для чтения журналов, в группу читателей журнала. Зайдём в политику локальных групп и добавим правило для локальной группы
>
>Локальная группа -- читатели журнала событий
>Пользователи -- администраторы домена
>
>
>
*Применим и сохраняем*
>Применим на домен
>Настроим приём логов на коллекторе.
>Создадим новую подписку (Назовём её collector-get -> доменные компьютеры ->PC1)
>
>
>Проверим сетевую связность
> в меню select events и выберем нужные журналы
> Зайдём в меню Advanced, укажем для сбора УЗ администратора
> 
> Подтвердим настройки, увидим созданую подписку.
> 
> При проверке выдало ошибку, пришлось изменить имя пользователя
> Дадим доступ сетевой службе до чтения журнала безопасности, выполнив команду на pc1
>
| wevtutil set-log security /ca: O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20) |
| -------- |
>Наконец-то пришли логи в журнал
---
## 3. Настройка сборщика логов при компьютерах-инициаторах
>На сервере-коллекторе выполнить команду winrm qc, ответить согласием на оба последующих вопроса (включение службы WinRM и прослушивание порта TCP:5985 для входящих соединений от источников)
>
---
>На сервере-коллекторе выполнить команду wecutil qc, согласиться на включение службы сборщика событий Windows.
>
---
>На источниках событий следует включить службу WinRM (реализовано политикой в пункте 3.4)
>
>
>
>Создать подписку, где инициатором будут компьютеры
>
>
>
>
>
>
>
>
>
>Логи в журнале событий
>
Sign in with Wallet
Connect another wallet