# Windows basics 5
# Практика 5 Обмен данными в домене и средства мониторинга Windows

*Выполнил Андреев Игорь Константинович*

## Часть 1 - Настройка инстанса обмена данными
### 1.1 Установим роль DFS на DC1. Перейдём в установку ролей и компонентов
### 1.2 Отметим роли DFS Namespases и DFS Replication
### 1.3 Готово
### 1.4 Аналогичная натсройка DC2
### 1.5 Зайдём в управление DFS
### 1.6 Создадим новый namespace
### 1.7 Укажем сервер, являющийся сервером имён для DFS (DC1)
### 1.8 Укажем имя создаваемого пространства и перейдём в edit settings
### 1.9 Настроим кастомные права, указав возможность чтения и записи для всех пользователей
### 1.10 NEXT
### 1.11 Создаём
### 1.12 Готово!
### 1.13 Проверяем, что инстанс создан
### 1.14 Создаём папку Share
### 1.15 Внутри создаём ещё папки для каждого отдела + all_share
### 1.16 Делаем папки сетевыми (на примере одной)
### Идём в permissions
### Повторяем тоже самое для всех папок! (All_Share делается на чтение и запись для всех)
### 1.17 Cоздадим папки в DFS. В меню DFS нажмём кнопку "new folder"/
### 1.18 Нажимаем Add, Выбираем нужную папку в browse и подтверждаем
### Повторяем тоже самое для всех папок!
### 1.19 Изменим права security у папки Buhg. Нажмём кнопку Edit
### 1.20 Дадим права в том числе и на modify
### Повторяем тоже самое для всех папок!
### 1.21 Настраиваем выдачу специальных прав на просмотр
### 1.22 Нажимаем configure view permisson
### 1.23 Добавляем нужную группу
### Повторяем тоже самое для всех папок!
### 1.24 Все папки видны

## Часть 2 - Управление средствами мониторинга Windows
### 2.1 Зайдём в настройки папки share
### 2.2 security >> advanced
### 2.3 Audit >> add
### 2.4 Выберем Select a Principal
### 2.5 Указываем группу domain users
### 2.6 Type = all >> show advanced permissions
### 2.7 Отмечаем обе delete
### 2.8 Создаём папку folder_for_delete в папке all_share и от имени Olga удалим её
### 2.9 Проверим журнал безопасности DC1
### 2.10 Зайдём в меню filter current log и введём интересующие нас id событий (4656, 4659, 4660, 4663) в поле фильтра
### 2.11 Находим 3 интересующих нас события

## Часть 3 - Инфраструктура отправки журналов Windows в SIEM
### 3.1 Включим сервис сборщика логов и подтвердим его автостарт
### 3.2 Создадим новую групповую политику
### 3.3 Найдём пункт включения службы WinRM
### 3.4 Включаем
### 3.5 Найдём пункт настройки менеджера подписок (configure target Subscription Manager)
### 3.6 Активируем его и укажем путь до логколлектора
### 3.7 Сохраним и закроем меню редактирование политики. Применим фильтр безопасности, чтобы политика применилась только к PC1
### 3.8 Нажмём object types >> computers, поставить галочку
### 3.9 Добавляем PC1 и удаляем авторизованных пользователей
### Для управления компьютерами в домене с помощью WinRM нужно, чтобы брандмауэр windows разрешал подобные подключения. Изменим политику сбора логов так, чтобы правило было прописано на pc1.
### 3.10 Найдём меню создания правил брандмауэра и создадим новое правило inbound
### 3.11 Выберем преднастроенное правило для WinRM
### 3.12 Создадим это правило только для доменной и частной сети (снимем галочку с public)
### 3.13 Разрешим подключение
### После применения порт на PC1 откроется и позволит выполнять WinRM команды, с помощью которых собираются логи с windows машин
### Теперь нужно донастроить политику так, чтобы у учетной записи сборщика были права на доступ к журналам, которые мы собираем в коллектор
### 3.14 Для настройки политики нам понадобится дескриптор безопасности журнала. Найдём его на PC1 (channelAccess)
### 3.15 Настроим доступ УЗ до журнала security (configure log access)
### 3.16 Активируем политику и введём параметр channelAccess
### 3.17 И отдельно добавим учетную запись, которую в дальнейшем будем использовать для чтения журналов, в группу читателей журнала. Зайдём в политику локальных групп и добавим правило для локальной группы
### 3.18 Локальная группа -- читатели журнала событий
### 3.19 Пользователи -- администраторы домена (в реальной ситуации нужно добавлять пользователя, созданного для чтения журнала событий)
### 3.20 Итог
### 3.21 Применяем на домен новую политику
### 3.22 Настроим приём логов на коллекторе. Пройдя в event viewer, зайдём в меню подписок и подтвердим автоматическое включение службы >> create subscription
### 3.23 Назовём collector-get >> select computer
### 3.24 Добавляем PC1
### 3.25 Проверяем доступность
### 3.26 Зайдём в меню select events и выберем нужные журналы
### 3.27 Зайдём в меню Advanced, укажем для сбора УЗ администратора
### 3.28 Подтвердим настройки, увидим созданую подписку. Проверим, нет ли ошибок. Нам нужно меню Runtime Status
### 3.29 Увидим отсутствие ошибок
### 3.30 Дадим доступ сетевой службе до чтения журнала безопасности, выполним команду на PC1
### Получается, что мы выдаём доступ NTAUTHORITY\NETWORKSERVICE (SID S-1-5-20) доступ до журнала security
### 3.31 Появились логи!

## Часть 4 - Настройка сборщика логов при компьютерах-инициаторах
### 4.1 На сервере-коллекторе выполняем команду winrm qc, wecutil qc
### 4.2 Добавляем новую подписку Source computer inititated >> PC1 + Select events
### 4.3 Готово!