# Windows_Basic-Фадеев_Александр-Практика-5
## Практическая работа №5.1 Обмен данными в домене.

### Часть 1. Настройка инстанса обмена данными.

Установим роль DFS на dc1. Перейдём в установку ролей и компонентов

Отметим роли DFS Namespases и DFS Replication


Аналогично на dc2


---
Зайдём в управление DFS
Создадим новый namespace
Укажем сервер, являющийся сервером имён для DFS. Это будет наш dc1

Укажем имя создаваемого пространства и перейдём в edit settings

Укажем имя создаваемого пространства и перейдём в edit settings


Оставим настройки по умолчанию (domain namespase)

Создадим пространство имён

Можно проверить, что инстанс создан, пройдя по пути

Создадим папку share

И папки отделов внутри, + папку all_share

Каждую эту папку нужно сделать сетевой. Идём в настройки папки

Вкладка sharing, пунк advanced sharing

Активируем галочку шаринга, а вконце имени сетевой папки ставим знак. После идём в permissions

Знак доллара нужен, чтобы скрыть папку от посторонних

Выставляем права на чтение и запись для buhg-sec (права -- change, read) и domain admins (права -- full control), а группу everyone удаляем.


Аналогичные действия нужно сделать для остальных папок, но выдавая права на группы безопасности отделов (папке HR -- группу HR-sec на чтение запись и т.п.). Для all_share выдать доступ на read write для группы everyone






создадим папки в DFS. В меню DFS нажмём кнопку "new folder"

Укажем имя папки (именно с этим именем она отобразится в dfs-пути)

Добавим target. Имеется ввиду то, что мы по сути создаем всего лишь ярлык, который будет ссылаться на папку, которую мы укажем в target

Увидим список всех расшаренных папок на dc1. Выберем нужную

Сетевой путь до папки отобразится, можно подтверждать и применять настройки

Теперь по сетевому пути видны сетевые папки

Изменим права security у папки Buhg. Нажмём кнопку Edit

Нажмём кнопку Add, чтобы добавить группу Buhg-sec

Дадим права в том числе и на midify


Для папки all_share выставить в параметрах доступ для группы everyone (аналогично, в т.ч. и на modify)


## Практическая работа №5.2 Обмен данными в домене.

### Управление средствами мониторинга Windows

Зайдём в настройки папки share
Security -> Advanced
Зайдём во вкладку Аудит и нажмём Add, чтобы добавить правило аудита
Выберем Principal -- это объект, действия которого нужно логировать
Отметим группу Domain Users
Выставим type=all, чтобы мониторить как успех, так и отказ. Нажмём кнопку show advanced permissions
Правило создано для папки share, а так же всех её вложенных папок и файлов

Создадим в папке all_share папку folder-for-delete для тестирования генерации событий

На pc1 от имени пользователя Olga попробуем удалить папку folder-for-delete из папки all_share

Проверим журнал безопасности dc1
Событий много, отфильтруем их. Зайдём в меню filter current log и введём интересующие нас id событий (4656, 4659, 4660, 4663) в поле фильтра

увидим много подряд идущих событий, из которых 3 явно нас интересуют
События можно связать по handle id -- если у нескольких событий он одинаков, то это значит, что события относятся к одному объекту

### Инфраструктура отправки журналов Windows в SIEM

Включим сервис сборщика логов и подтвердим его автостарт
`
wecutil qc
`
Настроим политику отправки журналов на logcollector. Зайдём в редактор групповой политики и создадим новую, log_delivery

Найдём пункт включения службы WinRM
`Путь до настройки: Computer Configuration/Policies/Windows Setting/Security Setting/System Services`

Найдём пункт настройки менеджера подписок
`Путь до настройки: Computer Configuration/Policies/Administrative Templates:…/Windows Components/Event Forwarding`
Активируем его

Настроим путь до логколлектора
`Server=http://dc1.pt.local:5985/wsman/SubscriptionManager/WEC,Refresh=60`

>`Для примера использовалось FQDN dc1. Если ввести ip адрес -- не будет работать инициализация со стороны клиента`

Сохраним и закроем меню редактирование политики. Применим фильтр безопасности, чтобы политика применилась только к pc1.
После -- удалим группу аутентифицированных пользователей
Найдём меню создания правил брандмауэра и создадим новое правило inbound
`
Путь до настройки: Computer Configuration/Policies/Windows Setting/Security Setting/Windows Firewall …/Windows Firewall …/Inbound rules
`
Выберем преднастроенное правило для WinRM
Создадим это правило только для доменной и частной сети (снимем галочку с public)
Разрешим подключение

После применения порт на PC1 откроется и позволит выполнять WinRM команды, с помощью которых собираются логи с windows машин.
Теперь нужно донастроить политику так, чтобы у учетной записи сборщика были права на доступ к журналам, которые мы собираем в коллектор.

Для настройки политики нам понадобится дескриптор безопасности журнала. Найдём его на pc1
`
Команда: wevtutil gl security
`
Настроим доступ УЗ до журнала security
`Путь до настройки: Computer Configuration/Policies/Administrative Templates:…/Windows Components/Event Log Service/Security`
Активируем политику и введём параметр channelAccess


И отдельно добавим учетную запись, которую в дальнейшем будем использовать для чтения журналов, в группу читателей журнала. Зайдём в политику локальных групп и добавим правило для локальной группы
`
Путь до настройки: Computer Configuration/Preferences/Control Panel Setting/Local User and Groups
`
Пользователи -- администраторы домена (в реальной ситуации нужно добавлять пользователя, созданного для чтения журнала событий

Применим на домен

обновим политику на pc1

Настроим приём логов на коллекторе. Пройдя в event viewer, зайдём в меню подписок и подтвердим автоматическое включение службы
Создадим новую подписку
Выберем доменные компьютеры
Нажмём кнопку Test чтобы проверить сетевую связность

Зайдём в меню select events и выберем нужные журналы
Зайдём в меню Advanced, укажем для сбора УЗ администратора
`
PT/admpetr
`
Подтвердим настройки, увидим созданую подписку. Проверим, нет ли ошибок. Нам нужно меню Runtime Status
Увидим отсутствие ошибок

Дадим доступ сетевой службе до чтения журнала безопасности, выполним команду на pc1
`
Команда: wevtutil set-log security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)
`

После чего увидим логи в журнале forwarded events

### Настройка сборщика логов при компьютерах-инициаторах

- На сервере-коллекторе выполнить команду winrm qc, ответить согласием на оба последующих вопроса (включение службы WinRM и прослушивание порта TCP:5985 для входящих соединений от источников)

- На сервере-коллекторе выполнить команду wecutil qc, согласиться на включение службы сборщика событий Windows.


- На источниках событий следует включить службу WinRM

- Создать подписку, где инициатором будут компьютеры