---
# System prepended metadata

title: Макаров Дмитрий Владиславович - Windows Basic. Практическая работа №5. Инфраструктурные сервисы в домене

---

# Макаров Дмитрий Владиславович - Windows Basic. Практическая работа №5. Инфраструктурные сервисы в домене

[toc]

## Практическая работа №5.1 Обмен данными в домене.

### Часть 1. Настройка инстанса обмена данными

1.1 Для начала установим роль *DFS* на **dc1**. Перейдём в установку ролей и компонентов. Отметим роли *DFS Namespases* и *DFS Replication*

---
![](https://i.imgur.com/A8BZpd5.png)

---
1.2 Установим роли

---
![](https://i.imgur.com/NRGZrMC.png)

---
Выполним аналогичную установку на **dc2**:

---
![](https://i.imgur.com/RyGY8ld.png)

---
1.3 Зайдём в управление *DFS*. Создадим новый namespace

---
![](https://i.imgur.com/Oe7Utty.png)

---
1.4 Укажем сервер, являющийся сервером имён для *DFS*. Это будет наш **dc1**

---
![](https://i.imgur.com/4xtwcr4.png)

---

1.5 Укажем имя создаваемого пространства и перейдём в **edit settings**

---
![](https://i.imgur.com/bq1dpWd.png)

---

1.6 Настроим кастомные права, указав возможность чтения и записи для всех пользователей

---
![](https://i.imgur.com/esv30oM.png)

---
1.7 Оставим настройки по умолчанию (**domain namespase**)

---
![](https://i.imgur.com/t7i0ZxG.png)

---

1.8 Создадим пространство имён

---
![](https://i.imgur.com/texYlfO.png)

---
1.9 Успех

---
![](https://i.imgur.com/uVLfIjp.png)

---
1.10 Проверим, что инстанс создан, пройдя по пути

---
![](https://i.imgur.com/EtVwVhQ.png)

---

*DFS* работает таким образом, что абстрагирует пользователя от прямого пути до папки. Для начала создадим обычные сетевые папки, а потом соотнесём их с *DFS* путями.

1.11 Создадим папку **share**

---
![](https://i.imgur.com/PGBSaiU.png)

---

1.12 И папки отделов внутри, а также папку **all_share**

---
![](https://i.imgur.com/o66fPA3.png)

---

1.13 Каждую папку делаем сетевой. Идём в настройки папки. Вкладка *sharing*, пункт **advanced sharing**. Активируем галочку шаринга, а вконце имени сетевой папки ставим знак . После идём в **permissions**

---
![](https://i.imgur.com/F4UQhnY.png)

---


:::success
:bulb: Знак доллара нужен, чтобы скрыть папку от посторонних
:::


---

1.14 Выставляем права на чтение и запись для **buhg-sec** и полные права для **domain admins**, а группу ==everyone удаляем==. После нажимаем **apply**

---
![](https://i.imgur.com/R67BEp2.png)

---

1.15 Нам покажут относительный **dc1** путь до папки по сети. Закрываем меню

---
![](https://i.imgur.com/m4LGzjk.png)

---

:::info
:bulb: Аналогичные действия делаем для остальных папок, но выдавая права на группы безопасности отделов. Для **all_share** выдадим доступ на *read & write* для группы **everyone**
:::

**HR**

---
![](https://i.imgur.com/TkoPxLq.png)

---

**Progr**

---
![](https://i.imgur.com/l1BzkVy.png)

---

**Sysadmins**

---
![](https://i.imgur.com/EXw4IJS.png)

---

**VIP**

---
![](https://i.imgur.com/EQGImDb.png)

---

1.16 Вот так будет выглядеть настройка **all_share**. Доллар ставить не обязательно, всё равно группа everyone увидит ресурс

---
![](https://i.imgur.com/54R25UC.png)

---

1.17 После создания папок они отобразятся в сетевом пути до **dc1**. Теперь создадим папки в *DFS*. В меню *DFS* жмём кнопку **new folder**. Указываем имя папки

---
![](https://i.imgur.com/QIrcBXT.png)

---

1.18 Добавим **target**. Мы по сути создаем всего лишь ярлык, который будет ссылаться на папку, которую мы укажем в **target**. Можем либо сразу указать сетевой путь до папки, либо воспользоваться **browse**. Увидим список всех расшаренных папок на **dc1**. Выберем нужную

---
![](https://i.imgur.com/7W7iXyJ.png)

---

1.19 Сетевой путь до папки отобразится, можно подтверждать и применять настройки

---
![](https://i.imgur.com/kCVeZQG.png)

---

1.20 Теперь по сетевому пути  видны сетевые папки

---
![](https://i.imgur.com/7eF8Rfm.png)

---

:::info
:bulb: У пользователей ещё нет прав на уровне **NTFS** на редактирование файлов в них. Если пользователь из группы **Buhg-sec** расположит в папке **Buhg** файл, то пользователь будет являться его владельцем и сможет сделать с файлом всё, что захочет. Но вот другие пользователи группы **Buhg-sec** не смогут проводить операции с файлом.
:::

1.21 Изменим права security у папки **Buhg**. Нажмём кнопку **Edit**

---
![](https://i.imgur.com/PCQHRjO.png)


---

1.22 Нажмём кнопку **Add**, чтобы добавить группу **Buhg-sec**. Дадим права в том числе и на **modify**

---
![](https://i.imgur.com/RI7lYVX.png)

---

Проделаем по аналогии со всем другими папками. 

**HR**

---
![](https://i.imgur.com/2mV8UEe.png)

---

**Progr**

---
![](https://i.imgur.com/GtXfYHZ.png)

---

**Sysadmins**

---
![](https://i.imgur.com/B5PfTU0.png)

---

**VIP**

---
![](https://i.imgur.com/mRDUqDc.png)

---

Для папки **all_share** аналогично выставим в параметрах доступ для группы **everyone**.

---
![](https://i.imgur.com/W7kNlUZ.png)

---


## Практическая работа №5.2 Средства мониторинга Windows

### Часть 2. Управление средствами мониторинга Windows

==Решим задачу с настройкой логирования удаления файлов с сетевых файловых ресурсов на **dc1**==

2.1 Зайдём в настройки папки **share**. Перейдём во вкладку **Security**, а затем нажмём **Advanced**

---
![](https://i.imgur.com/3Twc806.png)

---
2.3 Зайдём во вкладку **Аудит** и нажмём **Add**, чтобы добавить правило аудита

---
![](https://i.imgur.com/gAIqPSP.png)

---

:::info
:bulb: Ранее мы настроили политику, позволяющую логировать операции с файлами. Но по умолчанию все папки и файлы не подвержены аудиту, поэтому нужно настроим правила вручную
:::

2.4 Выберем **Principal** -- это объект, действия которого нужно логировать. Отметим группу **Domain Users**

---
![](https://i.imgur.com/e5zfW79.png)

---

2.6 Выставим **type**=*all*, чтобы мониторить как успех, так и отказ. Нажмём кнопку **show advanced permissions**. Отметим галочкой оба пункта **Delete** и нажмём **ОК**

---
![](https://i.imgur.com/Dhjp4nK.png)

---

2.8 Правило создано для папки **share**, а так же всех её вложенных папок и файлов

---
![](https://i.imgur.com/Axx0uSr.png)

---

2.9 Создадим в папке **all_share** папку **folder-for-delete** для тестирования генерации событий. На **pc1** от имени пользователя **Olga** попробуем удалить папку **folder-for-delete** из папки **all_share**

---
![](https://i.imgur.com/L2q6LTL.png)

---

2.10 Проверим журнал безопасности **dc1**

---
![](https://i.imgur.com/bLn9b49.png)

---

2.11 Событий много, отфильтруем их. Зайдём в меню **filter current log** и введём интересующие нас id событий в поле фильтра, а именно ==**4656**, **4659**, **4660**, **4663**==

---
![](https://i.imgur.com/3MuQsbj.png)

---

:::info
:bulb:При удалении файла создается набор событий.
Сначала идёт **4656** -- запрос дескриптора объекта. Это проверка прав доступа к файлу. Это событие показывает, что доступ был запрошен и результаты запроса, но не показывает, что операция была выполнена.

Затем **4663** -- это событие указывает на то, что над объектом была выполнена определенная операция. Основное отличие от **4656** является то, что **4663** показывает, что право доступа было использовано вместо только что запрошенного, и **4663** не имеет событий отказа.

После идёт **4660** -- это событие генерируется при удалении объекта. Оно не содержит имени удаляемого объекта, а только **handle id**.


**4659** понадобилось бы, если бы в папке находились файлы. Событие с кодом **4659** регистрируется, когда дескриптор объекта запрашивается с целью его удаления.

События можно связать по **handle id** -- если у нескольких событий он одинаков, то это значит, что события относятся к одному объекту.
:::

2.12 По итогу вы увидите много подряд идущих событий, из которых 3 явно нас интересуют

**4656**

---
![](https://i.imgur.com/YyAAxgu.png)

---
**4663**

---
![](https://i.imgur.com/gBF5517.png)

---
**4660**

---
![](https://i.imgur.com/C0Ew2sz.png)

---

### Часть 3. Инфраструктура отправки журналов Windows в SIEM

3.1 Включим ==сервис сборщика логов== и подтвердим его автостарт

---
![](https://i.imgur.com/dlJLPX8.png)

---

3.2 Настроим политику отправки журналов на **logcollector**. Зайдём в редактор групповой политики и создадим новую, **log_delivery**

---
![](https://i.imgur.com/Z8eBNOy.png)

---

3.3 Найдём пункт включения службы **WinRM**

---
![](https://i.imgur.com/ULasHQO.png)

---
:::info
:bulb:Путь до настройки: 
**Computer Configuration/Policies/Windows Setting/Security Setting/System Services**
:::

---

3.4 Включим службу

---
![](https://i.imgur.com/abfTZM7.png)

---

3.5 Найдём пункт настройки менеджера подписок

---
![](https://i.imgur.com/H64bHOq.png)

---

:::info
:bulb:Путь до настройки: 
**Computer Configuration/Policies/Administrative Templates:…/Windows Components/Event Forwarding**
:::

---

3.6 Активируем его. Настроим путь до ==логколлектора==

---
![](https://i.imgur.com/CEpjmZ1.png)

---
:::info
:bulb:Для примера использовалось FQDN dc1. Если ввести ip адрес -- не будет работать инициализация со стороны клиента

:::

---

```
Server=http://dc1.pt.local:5985/wsman/SubscriptionManager/WEC,Refresh=60
```

---

3.7 Сохраним и закроем меню редактирование политики. Применим фильтр безопасности, чтобы политика применилась только к **pc1**. По умолчанию поиск не происходит среди компьютеров. Изменим это, выберем типы объектов для поиска

---
![](https://i.imgur.com/motZMrU.png)

---

3.8 Укажем тип объектов -- компьютеры

---
![](https://i.imgur.com/VRCiMuk.png)

---

3. И проведем поиск по имени **pc1** (введем имя и нажмём **check names**)

---
![](https://i.imgur.com/ZGM3pSo.png)

---

3.10 После -- удалим группу аутентифицированных пользователей, она не пригодится

---
![](https://i.imgur.com/dE9pndK.png)

---

:::info
Для управления компьютерами в домене с помощью **WinRM** нужно, чтобы брандмауэр windows разрешал подобные подключения. Изменим политику сбора логов так, чтобы правило было прописано на **pc1**.
:::

3.11 Найдём меню создания правил брандмауэра и создадим новое правило **inbound**

---
![](https://i.imgur.com/lnXwFGr.png)

---

:::info
Путь до настройки: 
**Computer Configuration/Policies/Windows Setting/Security Setting/Windows Firewall …/Windows Firewall …/Inbound rules**
:::


---

3.12 Выберем преднастроенное правило для **WinRM**

---
![](https://i.imgur.com/gHfUkfk.png)

---

3.13 Создадим это правило только для доменной и частной сети

---
![](https://i.imgur.com/BHMXcvH.png)

---

3.14 Разрешим подключение

---
![](https://i.imgur.com/s4m2lc9.png)

---

После применения открылся порт на **PC1**, и он позволяет выполнять **WinRM команды**, с помощью которых собираются логи с **Windows машин**.

Теперь нужно донастроить политику так, чтобы у учетной записи сборщика были права на доступ к журналам, которые мы собираем в **коллектор**.

---

3.15 Для настройки политики нам понадобится дескриптор безопасности журнала. Найдём его на **pc1**

---
![](https://i.imgur.com/X2ziAXa.png)

---
:::info
Команда: **wevtutil gl security**
:::

---

3.16 Настроим доступ **УЗ** до журнала **security**

---
![](https://i.imgur.com/eAZf1IU.png)

---

:::info
Путь до настройки: 
**Computer Configuration/Policies/Administrative Templates:…/Windows Components/Event Log Service/Security**
:::


---

3.17 Активируем политику и введём параметр **channelAccess**

---
![](https://i.imgur.com/7PyeR6p.png)

---

:::info
В решении этот параметр такой: **O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)**


Также в решении указан доп. параметр **(A;;0x1;;;S-1-5-20)** -- для чтения журнала **security** службой **network**
:::

---


3.18 И отдельно добавим учетную запись, которую в дальнейшем будем использовать для чтения журналов, в группу читателей журнала. Зайдём в политику локальных групп и добавим правило для локальной группы

---
![](https://i.imgur.com/n7E9Jyk.png)

---

:::info
Путь до настройки: 
**Computer Configuration/Preferences/Control Panel Setting/Local User and Groups**
:::

---

3.19 Локальная группа -- читатели журнала событий.

---
![](https://i.imgur.com/Bkvg8ND.png)

---

3.20 Пользователи -- администраторы домена

---
![](https://i.imgur.com/nTsKlfG.png)

---

3.21 Вот так по итогу, применяем-сохраняем

---
![](https://i.imgur.com/o5kXHX5.png)

---

3.22 Применим на домен

---
![](https://i.imgur.com/C9UPPlt.png)

---

3.23 Настроим приём логов на коллекторе. Пройдя в **event viewer**, зайдём в меню подписок и подтвердим автоматическое включение службы. Создадим новую подписку. Назовём её *collector-get* и отметим ПК, с которых коллектор будет собирать логи (**select computers**)

---
![](https://i.imgur.com/UBb3olR.png)

---

3.24 Выберем доменные компьютеры

---
![](https://i.imgur.com/8KuIZNb.png)

---

3.25 Выберем **PC1**. Нажмём кнопку **Test** чтобы проверить сетевую связность

---
![](https://i.imgur.com/nPLgtd9.png)

---

:::warning
Связность была настроена не сразу, так как было необходимо применить команду *winrm qc* на **Win10**, а затем подтвердить  внесение изменений в **Брандмауэр**
:::

---

![](https://i.imgur.com/IPOEL8Y.png)

---

3.26 Зайдём в меню **select events** и выберем нужные журналы

---
![](https://i.imgur.com/ErYOMaO.png)


---

3.27 Зайдём в меню **Advanced**, укажем для сбора **УЗ** администратора

---
![](https://i.imgur.com/ac5mHJi.png)

---

3.28 ==Подтвердим настройки==, увидим созданую подписку. Проверим, нет ли ошибок. Нам нужно меню Runtime Status

---
![](https://i.imgur.com/ofETnFs.png)

---

3.29 ==Видим отсутствие ошибок==

---
![](https://i.imgur.com/yoeXFWQ.png)

---

3.30 Дадим доступ сетевой службе до чтения журнала безопасности, выполним команду на **pc1**

---
![](https://i.imgur.com/pEFZubc.png)

---

:::info
Команда: 
`wevtutil set-log security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)`
:::


---

Получается, что мы выдаём доступ **NTAUTHORITY\NETWORKSERVICE (SID S-1-5-20)** доступ до журнала **security**

---

3.31 После чего увидим логи в журнале **forwarded events**

---
![](https://i.imgur.com/XHy0Byx.png)

---

:::success
:+1: Логи получены успешно
:::


### Часть 4. Настройка сборщика логов при компьютерах-инициаторах

4.1 На сервере-коллекторе выполним команду *winrm qc*, а также команду *wecutil qc*, и увидим, что службы уже запущены

---
![](https://i.imgur.com/zLuXcwo.png)

---

4.2 На источниках событий следует включим службу **WinRM** 

---
![](https://i.imgur.com/9BPv3kX.png)

---

4.3 Создим подписку, где инициатором будут **компьютеры**

Укажем ивенты

---
![](https://i.imgur.com/Y9XwtZm.png)

---

Укажем компьютер

---
![](https://i.imgur.com/91kmgZf.png)

---
==Подписка работает без ошибок==

---
![](https://i.imgur.com/RZFVYkX.png)

---