---
# System prepended metadata

title: '**Практическая работа №5**'

---

# **Практическая работа №5**

---

# Занятие 5 - *Обмен данными в домене и средства мониторинга Windows*

# Задание:

1) Настроить инстанс обмена данными

## Часть 1. Настройка инстанса обмена данными.
#### 1.1 Для начала установим роль DFS на dc1.Отметим роли DFS Namespases и DFS Replication
![](https://i.imgur.com/2EftkJ6.png)

![](https://i.imgur.com/JfluCFH.png)
#### 1.2 Установим роль DFS на dc2.Отметим роли DFS Namespases и DFS Replication
![](https://i.imgur.com/c5iiTKp.png)

![](https://i.imgur.com/b6NCce9.png)
#### 1.3 Зайдём в управление DFS и создадим новый Namespace
![](https://i.imgur.com/O9i7EtV.png)
#### 1.4 Укажем имя создаваемого пространства и перейдём в edit settings
![](https://i.imgur.com/vAVNfVW.png)
#### 1.5 Настроим кастомные права, указав возможность чтения и записи для всех пользователей
![](https://i.imgur.com/skjsoRY.png)
#### 1.6 Создадим пространство имён
![](https://i.imgur.com/ORpc4tg.png)
#### 1.7 Успешно!
![](https://i.imgur.com/DalIWjz.png)
#### 1.8 Проверяем создание инстанса
![](https://i.imgur.com/3Fw4Tko.png)
#### 1.9 Создаём на диске C папку share
![](https://i.imgur.com/bybww6Y.png)
#### 1.10 Внутри папки share создаём папки отделов + all_share
![](https://i.imgur.com/Dlklhd0.png)
#### 1.11 Делаем папку Bugh сетевой

![](https://i.imgur.com/zv8IeTm.png)
Выставляем права на чтение и запись для buhg-sec (права -- change, read) и domain admins (права -- full control), а группу everyone удаляем
![](https://i.imgur.com/Wjx36dH.png)

![](https://i.imgur.com/WkrhGZG.png)
здесь мы можем увидеть относительный путь к папке
![](https://i.imgur.com/nEP336w.png)

#### 1.12 Делаем папку HR сетевой

![](https://i.imgur.com/nuOWc8c.png)
Выставляем права на чтение и запись для HR-sec (права -- change, read) и domain admins (права -- full control), а группу everyone удаляем
![](https://i.imgur.com/EGXKJH3.png)


![](https://i.imgur.com/rB3mLxw.png)
здесь мы можем увидеть относительный путь к папке
![](https://i.imgur.com/U51vjxQ.png)

#### 1.13 Делаем папку Progr сетевой

![](https://i.imgur.com/14mRm0H.png)
Выставляем права на чтение и запись для Progr-sec (права -- change, read) и domain admins (права -- full control), а группу everyone удаляем
![](https://i.imgur.com/ZbN0Atv.png)


![](https://i.imgur.com/VkyyprY.png)
здесь мы можем увидеть относительный путь к папке
![](https://i.imgur.com/fagi2tn.png)

#### 1.14 Делаем папку Sysadmins сетевой

![](https://i.imgur.com/MPAL5TZ.png)
Выставляем права на чтение и запись для Sysadmins-sec (права -- change, read) и domain admins (права -- full control), а группу everyone удаляем
![](https://i.imgur.com/FM70TmF.png)


![](https://i.imgur.com/o6vYzAv.png)
здесь мы можем увидеть относительный путь к папке
![](https://i.imgur.com/jRo0h6u.png)

#### 1.15 Делаем папку VIP сетевой

![](https://i.imgur.com/yY6ya9U.png)
Выставляем права на чтение и запись для VIP-sec (права -- change, read) и domain admins (права -- full control), а группу everyone удаляем
![](https://i.imgur.com/4ypEhNK.png)


![](https://i.imgur.com/QfwcPc0.png)
здесь мы можем увидеть относительный путь к папке
![](https://i.imgur.com/LO72ACk.png)

#### 1.16 Делаем папку VIP сетевой

![](https://i.imgur.com/lVrhKV3.png)

#### 1.17 Теперь создадим папки в DFS
папка Buhg

![](https://i.imgur.com/m7pM9Me.png)

папка Progr

![](https://i.imgur.com/aNDNqSx.png)

папка Hr

![](https://i.imgur.com/ZJzkwn1.png)

папка Sysadmins

![](https://i.imgur.com/3rII3IU.png)

папка VIP

![](https://i.imgur.com/C171aCo.png)

папка all_share

![](https://i.imgur.com/e1RoSLo.png)

#### 1.17 Проверяем на Win10 под учёткой Petr

войти мы можем только в папку Sysadmins, т.к залогинились под учёткой Petr

![](https://i.imgur.com/WiOR9R4.png)

#### 1.19 Изменим права security у папок

Папка Buhg

![](https://i.imgur.com/ftR915p.png)

Папка HR

![](https://i.imgur.com/rod7Fpi.png)

Папка Progr

![](https://i.imgur.com/R6I7kDA.png)

Папка Syadmins

![](https://i.imgur.com/vt5PwiR.png)

Папка VIP

![](https://i.imgur.com/Fpe4ZDb.png)

Папка all_share

![](https://i.imgur.com/DhbfrxX.png)

## Часть 2. Дополнительное самостоятельное задание 

#### 2.1 Создаём папку share

![](https://i.imgur.com/CZqP7WJ.png)

#### 2.2 В папке share создаём папки, аналогичные на dc1 и настроим аналогичные параметры

![](https://i.imgur.com/vVxFf76.png)

#### 2.3 На dc1 dfs создаём резервирование с указанием сетевого пути до аналогичной папки dc2

Я покажу на примере папки Progr

1. Нажимаем пкм по папке и выбираем пункт Replicate Folder

![](https://i.imgur.com/PbMxV5A.png)

2. Указываем сетевой путь до папки, которая находится на dc2

![](https://i.imgur.com/PtM8w9J.png)

3. Жмём NEXT

![](https://i.imgur.com/EAPqup0.png)

4. В Primary number выбираем DC1

![](https://i.imgur.com/GK9dHFj.png)

5. Ошибок нет 

![](https://i.imgur.com/mtD05z0.png)

##### **На папки Buhg и Progr настроена репликация**

![](https://i.imgur.com/ncHDvAS.png)

# Задание:

1) Настроить файловый ресурс с целью журналирования событий удаления объектов

2) Настроить отправку журналов с помощью инструментария windows в соответствии с методическими материалами

3) Настроить сборщик журналов

## Часть 3. Управление средствами мониторинга Windows
#### 3.1 Настраиваем папку share для логирования удаления
![](https://i.imgur.com/WRfz3en.png)
#### 3.2 Правило создано для папки share, а так же всех её вложенных папок и файлов
![](https://i.imgur.com/7LAxqR0.png)
#### 3.3 Создаём в папке /share/all_share файл, который мы будем удалять
![](https://i.imgur.com/A95S7YP.png)
#### 3.4 Заходим на Win10 под учёткой Ольги и удаляем папку
![](https://i.imgur.com/DXWKlYm.png)
#### 3.5 На dc1 откроем журнал просмотра логов
![](https://i.imgur.com/XJMUOzn.png)
#### 3.6 Отсортируем и увидим, что присутствут логи удаления файла
![](https://i.imgur.com/KxzAVFI.png)

## Часть 4. Инфраструктура отправки журналов Windows в SIEM
#### Включаем сервис сборщика логов 
![](https://i.imgur.com/VZkB5ow.png)
#### В редакторе групповой политики создаём log-delivery
![](https://i.imgur.com/Nao1YGS.png)
#### Находим пункт включения службы WinRM
![](https://i.imgur.com/MAJKz2r.png)
#### Включаем службу
![](https://i.imgur.com/xxNSxVa.png)
#### Находим пункт настройки менеджера подписок
![](https://i.imgur.com/1XqSkKf.png)

#### Активируем его
![](https://i.imgur.com/Ywd0xsZ.png)

#### Настраиваем путь до логколлектора
![](https://i.imgur.com/rLHrx0U.png)

#### Изменяем типы объектов для поиска
![](https://i.imgur.com/Bq6G3bf.png)

#### Добавляем PC1
![](https://i.imgur.com/lQk9vnF.png)

#### Добавляем новое правило для WinRM   ![](https://i.imgur.com/fowiAmW.png)

#### Создаём это правило только для доменной и частной сети
![](https://i.imgur.com/x2NAoBu.png)

#### Разрешаем подключение
![](https://i.imgur.com/wl04TUO.png)

#### Правило добавлено
![](https://i.imgur.com/UDxBgd5.png)

#### Находим дискриптор безопасности журнала на PC1
![](https://i.imgur.com/1M9qyIf.png)

#### Настроим доступ УЗ до журнала security
![](https://i.imgur.com/l8NSpy3.png)

#### Активируем политику и введём параметр channelAccess
![](https://i.imgur.com/hKwh8CC.png)

#### И отдельно добавим учетную запись, которую в дальнейшем будем использовать для чтения журналов, в группу читателей журнала. Зайдём в политику локальных групп и добавим правило для локальной группы
![](https://i.imgur.com/60jds4g.png)
 
![](https://i.imgur.com/pcMjONV.png)

![](https://i.imgur.com/474JEvs.png)

#### Применяем на домен
![](https://i.imgur.com/zPLzOMD.png)

#### Настроим приём логов на коллекторе.
![](https://i.imgur.com/DJmMASf.png)
 
#### Проверяем тест
![](https://i.imgur.com/CxXw8os.png)

#### Зайдём в меню select events и выберем нужные журналы
![](https://i.imgur.com/IA3C6zf.png)

#### Зайдём в меню Advanced, укажем для сбора УЗ администратора
![](https://i.imgur.com/YkxdjDW.png)

#### Подтвердим настройки, увидим созданую подписку. Проверим, нет ли ошибок. Нам нужно меню Runtime Status
![](https://i.imgur.com/uK9zWLa.png)

#### Дадим доступ сетевой службе до чтения журнала безопасности
![](https://i.imgur.com/Obp9lV1.png)

#### Появились логи
![](https://i.imgur.com/EBatf7A.png)

## Часть 5. Настройка сборщика логов при компьютерах-инициаторах

#### 5.1 На сервере-коллекторе выполнить команду winrm qc, ответить согласием на оба последующих вопроса (включение службы WinRM и прослушивание порта TCP:5985 для входящих соединений от источников)
![](https://i.imgur.com/y5Ydx3F.png)

#### 5.2 На сервере-коллекторе выполнить команду wecutil qc, согласиться на включение службы сборщика событий Windows.
![](https://i.imgur.com/KauaUra.png)

#### 5.3 На источниках событий следует включить службу WinRM (реализовано политикой в пункте 3.4)
![](https://i.imgur.com/czK0uCx.png)

#### 5.4 Создать подписку, где инициатором будут компьютеры

![](https://i.imgur.com/nx4dead.png)

![](https://i.imgur.com/jLB2wKy.png)

![](https://i.imgur.com/w094qQr.png)

![](https://i.imgur.com/yHgp8Ls.png)

![](https://i.imgur.com/ATYOw7p.png)
