---
# System prepended metadata

title: Windows_Basic-Омаров_Джамалутин-Практика-5
tags: [Windows Basic]

---

###### tags: `Windows Basic`
# Windows_Basic-Омаров_Джамалутин-Практика-5
*Выполнил Омаров Джамалутин*
## Практическая работа №5.1 Обмен данными в домене и средства мониторинга Windows
### Часть 1. Настройка инстанса обмена данными
1.1 Для начала установим роль DFS на dc1. DFS - компонент Windows, использующийся для упрощения доступа к папкам. Для того, чтобы настроить DFS, необходимо настроить роль сервера. После чего в разделе "Tools" появится "DFS Managment".

Manage -> Add Roles and Features -> Next -> Next -> Next;
![](https://i.imgur.com/YpKkTMs.png)
1.2 Отмечаем роли "DFS Namespaces" и "DFS Replication". Если появятся особенности (Features), то оставляем по умолчанию "Add Features" -> Next -> Next -> Install;
![](https://i.imgur.com/4PzQPsB.png)
![](https://i.imgur.com/othcLNE.png)
![](https://i.imgur.com/Y4LGpTV.png)
Аналогично выполним установку для dc2.
Папки доступные по сети можно посмотреть "File and Storage Services" -> Shares

1.3 Зайдем в управление DFS;
![](https://i.imgur.com/7XMYdAq.png)
1.4 Создаем пространство имен.
ПКМ "Namespaces" -> New Namespace;
![](https://i.imgur.com/ZsZyyLT.png)
1.5 Указываем сервер, являющийся сервером имен для DFS. Это будет dc1;
![](https://i.imgur.com/Re4NdJv.png)
1.6 Указываем имя создаваемого пространства имен -> Edit Settings.
По пути \\pt.local\pt-dfs будет доступна файловая "share" папка, которую мы создадим позже. Там будут доступны ярлыки;
![](https://i.imgur.com/iyvItWO.png)
1.7 Настраиваем кастомные права, указав возможность чтения и записи для всех пользователей -> Apply -> OK -> OK -> Next;
![](https://i.imgur.com/qADSJT6.png)
1.8 Оставляем настройки "Domain-based namespace" -> Next;
![](https://i.imgur.com/MhnjXSM.png)
1.9 Создадим пространство имен "Create";
![](https://i.imgur.com/rwGwN03.png)
1.10 Close;
![](https://i.imgur.com/PJdyMiQ.png)
1.11 Проверим инстанс на Windows Server 2016 (ru). А также на нем мы устанавливаем DFS;
![](https://i.imgur.com/KDfSC2D.png)
![](https://i.imgur.com/Kvk0dTZ.png)
DFS работает таким образом, что абстрагирует пользователя от прямого пути до папки. Для начала создадим обычные сетевые папки, а потом соотнесем их с DFS путями.

1.12 Создадим папку "share";
![](https://i.imgur.com/J02BV5W.png)
1.13 Внутри ее создадим папку отделов компании, а также папку "all_share";
![](https://i.imgur.com/Q6ea9Yo.png)
1.14 Каждую папку необходимо сделать сетевой -> Properties;
![](https://i.imgur.com/34Kkouk.png)
1.15 Вкладка "Sharing" -> Advanced Sharing;
![](https://i.imgur.com/Q3BZPY9.png)
1.16 Активируем галочку шаринга, а в конце имени сетевой папки ставим знак "$" -> Permissions;
![](https://i.imgur.com/9JSknAv.png)
Знак "$" необходим для скрытия папки от посторонних.

1.17 Выставляем права на чтение и запись для "Buhg-sec", full control для "Domain Admins", а группу "everyone" удаляем -> Apply;
![](https://i.imgur.com/4iFjQgY.png)
1.18 Показан относительный dc1 путь до папки по сети -> Close;
![](https://i.imgur.com/6oH7ZRG.png)
Аналогичные манипуляции необходимо сделать для остальных папок. Для папки "all_share" необходимо выдать доступ на чтение и запись для группы "everyone".

1.19 Папка "all_share" будет выглядеть так;
![](https://i.imgur.com/tVZDxLU.png)
1.20 После создания папок они отобразятся в сетевом пути до dc1. Теперь же создадим папки в DFS. Меню DFS -> New Folder;
![](https://i.imgur.com/26C5Ip9.png)
1.21 Указываем имя папки, оно отобразится в dfs-пути;
![](https://i.imgur.com/yKv0Jkp.png)
1.22 Добавим target. А именно, мы создаем ярлык, который ссылается на папку, которую указываем в target;
![](https://i.imgur.com/1RRvKrL.png)
1.23 Потверждаем и применяем настройки;
![](https://i.imgur.com/G7ui2x8.png)
1.24 Теперь видны сетевые папки;
![](https://i.imgur.com/vcDJLSG.png)
У пользователей все еще нет прав на уровне NTFS на редактирование файлов в них. Если пользователь из группы Buhg-sec расположит в папке Buhg файл, то пользователь будет являться владельцем и сможет сделать с файлом все. Но другие пользователи группы Buhg-sec не смогут.

1.25 Изменим права "Security" у папки "Buhg" -> Edit;
![](https://i.imgur.com/s4l25sP.png)
1.26 Add -> Дадим права "Modify"
![](https://i.imgur.com/DJtYEFX.png)
Аналогично с другими папками. Для папки "all_share" выставить в параметрах доступ для группы "everyone"

### Дополнительное задание 
Настроить репликацию DFS на dc2:
* Настроить аналогичные папки
* Расшарить их
* Для каждой существующей на dc1 dfs папки создать резервирование с указанием сетевого пути до аналогичной папки dc2

1st. Папка share;
![](https://i.imgur.com/z1eZ5CH.png)
2nd. Создал только папку "Buhg", на ее примере будет выполняться задание;
![](https://i.imgur.com/V7eEek9.png)
3rd. Настройка во вкладке доступ;
![](https://i.imgur.com/KttHxw1.png)
4th. Создано пространство имен;
![](https://i.imgur.com/0aVf5fA.png)
5th. Папка видна на сетевом пути;
![](https://i.imgur.com/IFM6skW.png)
6th. Создана репликация. Репликация позволяет эффективно синхронизировать папки между серверами dc1 и dc2;
![](https://i.imgur.com/OU5nbvn.png)
![](https://i.imgur.com/Hd9h6M8.png)
![](https://i.imgur.com/Y4JQWks.png)
Показал ход выполнения задания. Необходимо произвести аналогичные действия для других папок.
## Практическая работа №5.2 Средства мониторинга Windows
**Задание**
* Настроить файловый ресурс с целью журналирования событий удаления объектов
* Настроить отправку журналов с помощью инструментария Windows в соответствии с методическими материалами
* Настроить сборщик журналов
### Часть 1. Управления средствами мониторинга Windows
Решим задачу с настройкой логирования удаления файлов с сетевых файловый ресурсов на dc1. 

1.1 Заходим в настройки папки "share";
![](https://i.imgur.com/glmvhlA.png)
1.2 Security -> Advanced;
![](https://i.imgur.com/a1c3r8L.png)
1.3 Auditing -> Add;
![](https://i.imgur.com/tVyrcZh.png)
Ранее мы настраивали политику, позволяющую логировать операции с файлами. Но по умолчанию все папки и файлы не будут подвержены аудиту, поэтому необходимо астроить правила вручную.

1.4 Principal (Объект, действия которого необходимо логировать);
![](https://i.imgur.com/LpqZb2h.png)
1.5 Отметим группу "Domain Users" -> Type = All (Для мониторинга успеха и отказа) -> Show advanced permissions;
![](https://i.imgur.com/CWxiXRy.png)
1.6 Отметим оба пункта "Delete" -> OK;
![](https://i.imgur.com/lOR8AvV.png)
1.7 Правило создано для папки "share", а также для всех ее вложенных папок и файлов;
![](https://i.imgur.com/ze5OvNn.png)
1.8 Создадим в папке "all_share" папку "folder-for-delete" для тестирования генерации событий;
![](https://i.imgur.com/Z8z4lx2.png)
1.9 На pc1 от имени "Olga" попробуем удалить папку "folder-for-delete";
![](https://i.imgur.com/Hu9Ri6e.png)
1.10 Проверим журнал безопасности dc1;
![](https://i.imgur.com/OoQ8o7k.png)
1.11 Событий много, отфильтруем их. В меню "filter current log" введем интересующие нас id событий (4656, 4659, 4660, 4663) в поле фильтра;
![](https://i.imgur.com/bo49ynC.png)
При удалении файла создается набор событий. 
4656 - запрос дескриптора объекта. Это проверка прав доступа к файлу. Показывает, что доступ был запрошен и его результаты, но не показывает, что операция была выполнена.
4663 - выполнение определенной операции над объектом. Данный запрос не имеет событий отказа. Право доступа было использовано.
4660 - генерируется при удалении объекта. Оно не содержит имени удаляемого объекта, только "handle id".
4659 - если бы в папке были файлы, то он бы понадобился нам. Событие регистрируется в случае запроса дескриптора объекта с целью его удаления.

События можно связать по "handle id", так как если он одинаковый у нескольких событий, то это события относятся к одному объекту.

1.12 По итогу выйдет множество событий, но нас интересуют только 3 из них:
4656;
![](https://i.imgur.com/zn8L7Cs.png)
4663;
![](https://i.imgur.com/ZmBI0Av.png)
4660;
![](https://i.imgur.com/RZ9AtC1.png)
### Часть 2. Инфраструктура отправки журналов Windows в SIEM
2.1 Включим сервис сборщика логов и подтвердим его автостарт. Wecutil.exe позволяет управлять подписками на события, создаваемые с помощью службы журнала событий Windows.
Cmd -> wecutil qc;
![](https://i.imgur.com/8JMfbaM.png)
2.2 Настроим новую политику отправки журналов на "logcollector".
GPO -> New GPO;
![](https://i.imgur.com/5Ewn7Cj.png)
2.3 Найдем пункт включения службы WinRM. Служба должна подключаться автоматически.
log_delivery -> Edit -> ... WinRM;
![](https://i.imgur.com/XEMiquk.png)
2.4 Включим ее -> Apply;
![](https://i.imgur.com/WCxngRz.png)
2.5 Найдем пункт настройки менеждера подписок;
![](https://i.imgur.com/ced0BT6.png)
2.6 Enabled;
![](https://i.imgur.com/a4fpfMs.png)
2.7 Настроим путь до логколлектора. Вписал такой путь:
Server=http://dc1.pt.local:5985/wsman/SubscriptionManager/WEC,Refresh=5;
![](https://i.imgur.com/AjcMK2f.png)
2.8 Сохраним и закроем окно редактирования политики. Применим фильтр безопасности, чтобы политика применилась только к pc1;
log_delivery -> Security Filtering -> Add;
![](https://i.imgur.com/sfoqU4P.png)
2.9 По имени "pc1" не происходит поиска. Изменим тип объектов для поиска.
Object Types;
![](https://i.imgur.com/0CVvTLr.png)
2.10 Отметим тип объектов "Computers";
![](https://i.imgur.com/pieXJza.png)
2.11 Произведем поиск еще раз;
![](https://i.imgur.com/9M9cCDB.png)
2.12 После этого удалим группу аутентифицированных пользователей. Она не приходится;
![](https://i.imgur.com/xZ94MML.png)
Для управления компьютерами в домене с помощью WinRM необходимо, чтобы Брандмауэр Windows разрешал подобные подключения. Изменим политику сбора логов так, чтобы правило было прописано на pc1.

2.13 Найдем меню создания правил Брандмауэра и создадим новое правило "Inbound Rules". Порт 5985 мы должны разрешить.
log_delivery -> Edit -> ...Inbound Rules -> New Rule;
![](https://i.imgur.com/LzpRzaN.png)
2.14 Выбираем преднастроенное правило для WinRM.
Predefined -> Next;
![](https://i.imgur.com/g96Azqo.png)
2.15 Создадим это правило только для доменной и частной сети;
... -> Next
![](https://i.imgur.com/o2dPbPG.png)
2.16 Разрешим подключение.
Allow the connection -> Finish;
![](https://i.imgur.com/WVZ3sCY.png)
После применения порт на pc1 откроется и позволит выполнить WinRM команды, с помощью которых собираются логи с Windows машин. Теперь донастроим политику так, чтобы у учетной записи сборщика были права на доступ к журналам, которые мы собираем в коллектор.

2.17 Для настройки политики нам понадобится дескриптор безопасности журнала. Найдем его на pc1. Wevtutil.exe - стандартный компонент системы, предназначенный для получения списка имен журналов, управлением их конфигурацией, получения списка источниов событий и тд... gl - получение сведений о конфигурации журнала.
pc1 -> cmd -> wevtutil gl security
![](https://i.imgur.com/JWXzrKb.png)
2.18 Настроим доступ УЗ до журнала "Security".
...Windows Components -> Event Log Service -> Security -> Configure log access;
![](https://i.imgur.com/sdW1Cl7.png)
2.19 Enabled -> Введем параметр O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20) - channelAccess;
![](https://i.imgur.com/VWxTc1S.png)
2.20 Добавим учетную запись, которую в дальнейшем будем использовать для чтения журналов, в группу читателей журнала.
Preferences -> Control Panel Settings -> Local Users...;
![](https://i.imgur.com/QuykMaq.png)
2.21 Local Group -> Event log Readers;
![](https://i.imgur.com/5Bm3jDB.png)
2.22 Add -> ... -> Domain Admins (В реальной ситуации необходимо добавлять пользователя, созданного для чтения журнала событий);
![](https://i.imgur.com/2pkWJ2P.png)
2.23 Apply;
![](https://i.imgur.com/FHKvt7F.png)
2.24 Применяем политику "log_delivery" на домен.
pt.local -> Link an Exiting GPO -> log_delivery -> OK;
![](https://i.imgur.com/gUyDcpD.png)
Далее настроим прием логов на коллекторе.

2.25 Создадим новую подписку.
Create Subscription;
![](https://i.imgur.com/eZIFjc4.png)
2.26 Назовем ее "collector-get" -> Select Computers;
![](https://i.imgur.com/NRG32WH.png)
2.27 Add Domain Computers;
![](https://i.imgur.com/b2a65wJ.png)
2.28 PC1;
![](https://i.imgur.com/4AcwpZV.png)
2.29 "Test" для проверки сетевой связности. Вначале возникла проблема с настройкой Брандмауэра, на pc1 применил команду "winrm qc";
![](https://i.imgur.com/KDQQWFY.png)
![](https://i.imgur.com/f9bVKrR.png)
2.30 Select Events;
![](https://i.imgur.com/VAhS2he.png)
2.31 Advanced -> Указываем ADMPetr -> OK;
![](https://i.imgur.com/3oQXhtX.png)
2.32 Подтвердим настройки, увидим созданную нами подписку. Проверим, нет ли ошибок.
Runtime Status;
![](https://i.imgur.com/vsPQrAt.png)
2.33 Ошибок нет;
![](https://i.imgur.com/BtxNHMU.png)
2.34 Дадим доступ сетевой службе до чтения журнала безопасности.
PC1 -> Cmd -> wevtutil set-log security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20);
![](https://i.imgur.com/ZDkeO5k.png)
Выдаем доступ до журнала "Security".

2.35 Увидим логи в журнале "Forwarded Events". Может понадобиться около 30 минут времени до появляния логов, мне понадобилось 10 минут;
![](https://i.imgur.com/kOkOGgo.png)
2.36 Есть команда для обновления политик, впишем ее.
PC1 -> Cmd -> gpupdate;
![](https://i.imgur.com/mbostci.png)

2.37 Проверим результирующую политику.
PC1 -> Cmd -> gpresult /R;
![](https://i.imgur.com/0qYaqpF.png)
В примененных объектах групповой политики увидим "log_delivery".






















































































