---
# System prepended metadata

title: Отчёт по лабораторной работе №5
tags: [Windows Labs]

---

###### tags: `Windows Labs`
# Отчёт по лабораторной работе №5
Выполнил: Запорожец Арсений

## Часть №1 - Обмен данными в домене
Установим роль DFC на две машины - dc1 и dc2:
![](https://i.imgur.com/Xg63zk8.png)
![](https://i.imgur.com/soke1gb.png)

Далее перейдём во вкладку управление DFS и создадим новый namespace, в качестве названия укажем pt-dfs, настроим кастомные права, указав возможность чтения и записи для всех пользователей:
![](https://i.imgur.com/OyX7Qtz.png)

А затем создадим пространство имён. Зелёная галочка станет подтверждением успеха операции:
![](https://i.imgur.com/A0ZH3Hx.png)

Убедиться в успешном создании инстанса мы также можем, проверив папку внутри домена:
![](https://i.imgur.com/QBGF6dV.png)

Теперь приступим к создаданию обычные сетевых папок. Создадим локальную папку share:
![](https://i.imgur.com/f8RhcsL.png)

А внутри неё ещё несколько для одноимённых групп пользователей:
![](https://i.imgur.com/uUPTvoN.png)

Теперь сделаем все папки внутри share сетевыми:
![](https://i.imgur.com/dZ9BEyi.png)

Выдадим для группы Buhg-sec права записи и чтения, а для группы Domain-Administrators - полный доступ:
![](https://i.imgur.com/UoZj2up.png)
![](https://i.imgur.com/FnMy6iq.png)

Выполняем аналогичные действия для остальных папок.
После этого по эти папки станут доступны в сетевом пути до dc1. Мы можем их увидеть и даже зайти, если мы укажем верный путь до папки, чтобы узнать содержимое. Папки на pt.local мы не сможем увидеть свободно потому, что они расшарены с долларом, который скрывает их наличие от тех, кому эти папки видеть не положено:
![](https://i.imgur.com/zRRvlrC.png)

Далее создадим папки в DFS:
![](https://i.imgur.com/6GZcnu5.png)

Выполним предыдущее действие для всех папок:
![](https://i.imgur.com/t99ceTY.png)

Теперь изменим ситуацию с правами на уровне NRFS, ведь пользователе пока ещё не могут адекватно взаимодействовать с файлами внутри указанных папок:
![](https://i.imgur.com/dTSX687.png)

Проделаем это же действие с остальными папками внутри раздела:
![](https://i.imgur.com/NPCUgmF.png)
![](https://i.imgur.com/b0d4Nhc.png)
![](https://i.imgur.com/YLlRfK8.png)
![](https://i.imgur.com/XMz3Oae.png)
![](https://i.imgur.com/0LWfSVZ.png)

Если перейти по каталогу pt-dfs на другой машине, то мы можем увидеть все созданные папки:
![](https://i.imgur.com/OPiLkNA.png)

##  Часть №2 - Управление средствами мониторинга Windows
Добавим новое правило аудита для папки share:
![](https://i.imgur.com/uFF8A9k.png)

Отметим группу Domain Users:
![](https://i.imgur.com/Y7TmHLY.png)

Применим настройки и создадим в all_share папку с названием "folder_for_delete". Удалим её от имени пользователя Olga с машины WinPro:
![](https://i.imgur.com/5af9h6G.png)

Теперь проверим журнал безопасности dc1. В поле фильтра интересующие нас id событий (4656, 4659, 4660, 4663) и найдём те события, что нам нужны:
![](https://i.imgur.com/XnTB7r3.png)
![](https://i.imgur.com/RnPI3yO.png)
![](https://i.imgur.com/ym1ukNz.png)

## Часть №3 - Инфраструктура отправки журналов Windows в SIEM
Включим сервис сборщика логов и подтвердим его автостарт:
![](https://i.imgur.com/Umdr4Vi.png)

Настроим политику отправки журналов на logcollector. Зайдём в редактор групповой политики и создадим новую, log_delivery:
![](https://i.imgur.com/IHG8u2Z.png)

Затем включим службу WinRM:
![](https://i.imgur.com/A6WgBn2.png)

Найдём пункт настройки менеджера подписок, начнём его активацию. Настроим путь до логколлектора:
![](https://i.imgur.com/xHbGRKx.png)

Сохраним изменения и закроем меню. Применим фильтр безопасности, чтобы политика применилась только к pc1:
![](https://i.imgur.com/wNgeiCq.png)

Затем удалим группу аутентифированных пользователей, ведь она нам не пригодиться:
![](https://i.imgur.com/dTYk6O7.png)

Для управления компьютерами в домене с помощью WinRM нужно, чтобы брандмауэр windows разрешал подобные подключения. Изменим политику сбора логов так, чтобы правило было прописано на pc1.
Найдём меню создания правил брандмауэра и создадим новое правило inbound:
![](https://i.imgur.com/1KJx1JK.png)

Выберем преднастроенное правило для WinRM, а затем создадим это правило только для доменной и частной сети (снимем галочку с public):
![](https://i.imgur.com/AuHw3eh.png)

Разрешим подклюение:
![](https://i.imgur.com/ep469cN.png)

Закончим и применим изменения:
![](https://i.imgur.com/1yXmS1d.png)

Для настройки политики нам понадобится дескриптор безопасности журнала. Найдём его на pc1:
![](https://i.imgur.com/Dbp4Cp4.png)

Настроим доступ УЗ до журнала security. Активируем политику и введём параметр channelAccess:
![](https://i.imgur.com/nQzCEU4.png)

Отдельно добавим запись, которую позже будем использовать для чтения журнала:
![](https://i.imgur.com/aygAEeh.png)

Применим на домен:
![](https://i.imgur.com/eaXewku.png)

Теперь настроим приём логов на коллекторе.
Перейдём в event viewerи создадим там новую политику под названием collect-get со следующими настройками:
![](https://i.imgur.com/Zj2wPAy.png)
![](https://i.imgur.com/7dFDe46.png)
![](https://i.imgur.com/Z7lk86z.png)

Вмоём случае также было необходимо активировать WinRM на pc1:
![](https://i.imgur.com/KF5SmLU.png)

Подтвердим её создание. Зелёная галочка демонстрирует успешное создание:
![](https://i.imgur.com/Vz9sqBY.png)

Мы также можем проверить, нет ли каких-либо ошибок. Зайдём в меню "RunTime status":
![](https://i.imgur.com/UKPAw2B.png)

Дадим доступ сетевой службе до чтения журналов безопасности:
![](https://i.imgur.com/ZhZlpbg.png)

После некоторого времени ожидания мы можем увидеть логи в журнале forwarded events:
![](https://i.imgur.com/4o5M9NN.png)

## Часть №4 - Настройка сборщика логов при компьютерах-инициаторах
Выполним команды, необходимые для включения службы WinRM и прослушивания порта TCP:5985 для входящих соединений от источников и службы сборщика событий Windows. Т.к. я активировал их ранне, сообщения будут соответствующие:
![](https://i.imgur.com/wzcyDUN.png)

Как уже было сказано ранее, в пункте 3.4 мы уже включили службу WinRM на источниках событий (то есть на VM WinPro):
![](https://i.imgur.com/P9AmnDW.png)

Теперь создадим новую подписку. Дадим ей названием collector-post. Выберем на этот раз "Source Computer Initiated":
![](https://i.imgur.com/D10JnKB.png)

Теперь нажмём "Select Computer Groups" и "Add domain computers" и введём "Domain Computers". Таким образом мы сделаем инициаторами все компьютеры домена. Это позволит собирать логи со всех участников домена единовременно, а также при появлении новых машин, не нужно будет постоянно изменять подписку:
![](https://i.imgur.com/miVGwel.png)

В "Select Events..." применим те же настройки, что и для collector-get:
![](https://i.imgur.com/OX9mXUo.png)

И завершим создание:
![](https://i.imgur.com/yJiyLAz.png)

Зайдём в "Runtime status". Увидим там активную машину pc1.pt.local. При добавлении новых машин мы можем увидеть их здесь:
![](https://i.imgur.com/E4Na42h.png)
