###### tags: `Windows Labs`
# Отчёт по практической работе №4

Выполнил: Запорожец Арсений

# Часть №1 - DNS
Запустим WinServer16-1en и в программе "Server Manager" перейдём в "DNS Manager". Здесь мы можем увидеть текущие DNS записи:

Теперь приступим к настройке форварда. Перейдём в настройки сервера DNS:

В окне настройки форвардов введём ip адрес микротика. В последствии именно он будет перенаправлять DNS запросы на внешние сервера. Убедимся в корректности проведения настройки и закроем окно:

Теперь приступим к настройке зоны обратного просмотра:

Выберем пункт "Primary Zone" и перейдём дальше:

Параметры репликации оставим по умолчанию:

Далее выберем пункт настройки IPv4 зоны и введём идентификатор зоны без последнего ip октета:

Для динамического обновления зоны выбранный пункт остается по умолчанию.
После выполнения всех необходимых пунктов ещё раз сверимся с выбранными настройками и подтвердим наш выбор:

В результате увидим созданную обратную зону:

# Часть №2 - DHCP
Откроем оснастку DHCP:

Приступим к созданию области DHCP. Перейдём во вкладку New Scope. В результате увидим открывшееся окошко мастера:

Введём имя новой области:

Укажем диапазон выдаваемых ip адресов:

Затем введём ip адрес роутера:

Введём адрес резервного контроллера домена, он же - резервный DNS. Здесь стоит сказать, что при выключенном dc2 проверка указанного ip будет провалена, однако добавить его всё-же получится. В моем случае dc2 я всё-таки включил, поэтому спокойно его добавил:

Завершим работу визарда:

После этого новая область появится в меню:

Отключим DHCP на микротике:

Настроим WinPro и kali на автоматическое получение параметров сети по DHCP:

Теперь в виртуальной машине WinServer1-1en мы можем увидеть информацию об аренде:

# Часть №3 - Отказоустойчивый DHCP
Начнём настройку отказоустойчивости DHCP:

Выберем сервер-партнёр:

Настроим отказоустойчивость:

Подтвердим настройки:

После завершения перейдём на машину dc2 и проверим правильность настроек через меню "свойства: отказоустойчивость":

# Часть №4 - Групповые политики
Зайдём в "Group policy management" и приступим к редактированию политики контроллеров домена:

Приступим к настройке политики компьютера "Object Access":

Включим аудит сетевых папок:

Включим аудит файловой системы:

# Политика защиты от mimikatz
Создадим новую политику под названием mimikatz_block_debug:

Откроем политику debug programs и настроим её так, чтобы только у администратора и ADMPetr были права отладки:

Применим политику к домену:

Теперь с помощью mimikatz мы можем проверить доступ к этой политике со стороны пользователя PT\Administrator:

А также PT\ADMigor:

# Отключение WDigest
В меню редактирования груповой политики mimikatz_block_debug создали новый параметр реестра, который отключит хранение в открытом виде пароля для авторизации в IIS:

# Защита LSA от подключения сторонних модулей
В меню редактирования груповой политики mimikatz_block_debug создали новый элемент реестра, который сделает так, что теперь все новые подключаемые модули без подписи, а также модули, не имеющие подписи Майкрософт, не будут загружаться в LSA:

# Настройки политик для SIEM
## Включение аудита командной строки и powershell
Создадим политику аудита audit_services_cmd_posh и зайдём в ветку "Административные шаблоны"/"Система"/"Аудит создания процессов". Там активируем параметр "Включить командную строку в события создания процессов:

Далее перейдём в ветку "Административные шаблоны"/"Компоненты Windows"/"Windows PowerShell" и включим параметр "Включить ведение журнала и модулей" для содержимого:

После чего изменения вступят в силу:

Применим политику на домен:

## Активация журналирования контроллерах домена
Изменим существующий параметр реестра:

И создадим два новых:

Теперь в журнале Directory Sevice будут создаваться события с идентификатором 1644 для каждого LDAP запроса.

Следующим нашим шагом будет настройка параметра для контроллеров домена, разрешающего только определенным пользователям выгружать членов доменных групп:

И, наконец, настроим журналирование попыток выгрузки. Добавляем нвоый параметр в реестр: