---
# System prepended metadata

title: Windows_Basic-Омаров_Джамалутин-Практика-4
tags: [Windows Basic]

---

###### tags: `Windows Basic`
# Windows_Basic-Омаров_Джамалутин-Практика-4
*Выполнил Омаров Джамалутин*
## Практическая работа №4 Инфраструктурные сервисы в домене
### Часть 1. DNS
Необходимо настроить перенаправление запросов DNS, не относящихся к зоне pt.local, на внешний DNS сервер. А также сконфигурировать зону обратного просмотра.


1.1 Зайдем Windows Server 2016 (en) -> Tools -> DNS
![](https://i.imgur.com/PYFwm8q.png)
1.2 Просмотрим текущие DNS записи, они созданы автоматически. Если необходимо можно настроить CNAME. Во вкладке "tcp" хранятся ссылки на службы:
* gc - Global Catalog
* kerberos
* ldap

В их конфигурации можно увидеть "Port number". Даже в случае смены порта, обращение происходит по имени службы - такая гибкая система;
![](https://i.imgur.com/KFYanv3.png)
1.3 Настроим Forward. Перейдем в настройки сервера DNS;
![](https://i.imgur.com/v8bFsfK.png)
1.4 Откроем вкладку "Forwarders";
![](https://i.imgur.com/gLPAuve.png)
1.5 Edit;
![](https://i.imgur.com/aNOm9Vq.png)
1.6 Введем адрес Mikrotik, который будет перенаправлять DNS запросы на внешние сервера. Настройка прошла корректно, видим зеленую галочку. На Mikrotik должен быть настроен прием удаленных запросов;
![](https://i.imgur.com/Wz0PIdL.png)
1.7 Закроем окно и применим настройки, после чего закроем окно свойств DNS;
![](https://i.imgur.com/y13VXjZ.png)
1.8 Нажимаем на "Reverse lookup zone" -> New Zone;
![](https://i.imgur.com/o1IRPRQ.png)
1.9 Next;
![](https://i.imgur.com/TFIslbD.png)
1.10 Primary zone -> Next;
![](https://i.imgur.com/SD19Zpz.png)
1.11 Параметры репликации по умолчанию -> Next;
![](https://i.imgur.com/0WDuRx5.png)
1.12 Настроим IPv4 зону -> Next;
![](https://i.imgur.com/zHyRuGN.png)
1.13 Введем идентификатор зоны без последнего ip октета. Это наша внутренняя сеть, для которой будет создана зона обратного просмотра -> Next;
![](https://i.imgur.com/BAj1rl7.png)
1.14 По умолчанию -> Next;
![](https://i.imgur.com/uTkWs9J.png)
1.15 Finish;
![](https://i.imgur.com/sjXUuZF.png)
1.16 Увидим созданную обратную зону;
![](https://i.imgur.com/TYJN8cw.png)
### Часть 2. DHCP
2.1 Tools -> DHCP
![](https://i.imgur.com/UPdfRw5.png)
2.2 Развернем меню DHCP, выделим IPv4;
![](https://i.imgur.com/jnIsHn6.png)
2.3 ПКМ -> New Scope;
![](https://i.imgur.com/PrLPxHk.png)
2.4 Откроется Wizard. Приступим к созданию области DHCP -> Next;
![](https://i.imgur.com/dPjJC3N.png)
2.5 Введем имя области "pool1" -> Next;
![](https://i.imgur.com/TJTiSMQ.png)
2.6 Укажем диапазон выдаваемых ip адресов -> Next;
![](https://i.imgur.com/zRl20gV.png)
2.7 Исключения указывать не будем -> Next;
![](https://i.imgur.com/gDMzoZJ.png)
2.8 Время аренды по умолчанию -> Next;
![](https://i.imgur.com/iq1YC7T.png)
2.9 Конфигурируем область сейчас -> Next;
![](https://i.imgur.com/qcaLOrp.png)
2.10 Введем адрес роутера -> Add -> Next;
![](https://i.imgur.com/7lfTUEC.png)
2.11 Введем адрес резервного контроллера домена, он же будет резервным DNS -> Add -> Next;
![](https://i.imgur.com/8dlBOko.png)
У меня dc2 выключен, поэтому выходит предупреждение -> Yes (все равно добавить).

2.12 WINS серверов у нас не будет -> Next;
![](https://i.imgur.com/s9s07Z8.png)
2.13 Активируем область сейчас -> Next;
![](https://i.imgur.com/XIRxdrw.png)
2.14 Finish;
![](https://i.imgur.com/vIQFMXu.png)
2.15 Новая область появится в меню "Scope -> Scope Options", можно будет посмотреть параметры;
![](https://i.imgur.com/zeJmL86.png)
2.16 Настроим Windows 10 Pro на автоматическое получение параметров сети по DHCP -> OK;
![](https://i.imgur.com/Dx1WeJI.png)
2.17 Настроим Kali Linux на автоматическое получение параметров сети по DHCP;
![](https://i.imgur.com/W9TRtwh.png)
2.18 Информация об аренде адресов на dc1. DHCP -> IPv4 -> Scope -> Address Leases;
![](https://i.imgur.com/I8NV6vo.png)
При расследвании инцидентов есть уточнение. Мы раздаем в виде опции домен "pt.local", и, когда мы включаем Kali Linux и получаем адрес по DHCP, то столкнемся с тем, что Kali Linux в оснастке системы будет выглядеть как "kali.pt.local", хотя Kali Linux не находится в домене. На самом деле DHCP раздал такой домен, Kali Linux в свою очередь просто принимает имя, предложенное DHCP. Этот момент может запутать.
### Часть 3. Отказоустойчивый DHCP
В данной части будем настроивать резервирование по технологии Hot Standby.

3.1 Windows Server 2016 (en) ПКМ (Scope) -> Configure failover;
![](https://i.imgur.com/jT15KDM.png)
3.2 Выбираем ip пулы для резервирования. У нас выставлен по умолчанию -> Next;
![](https://i.imgur.com/ZMQihvH.png)
3.3 Выбираем сервер-партнер "Add Server" -> This authorized DHCP server -> OK -> Next;
![](https://i.imgur.com/CyCJexR.png)
3.4 Настроим failover. Выбираем режим "Hot Standby" и снимаем галочку с пункта аутентификации -> Next;
![](https://i.imgur.com/5cAoGOi.png)
3.5 Finish;
![](https://i.imgur.com/02Vjyos.png)
3.6 Успешное создание кластера -> Close;
![](https://i.imgur.com/7kvefyK.png)
3.7 Проверяем. Переходим в dc2 -> DHCP -> Область -> Свойства;
![](https://i.imgur.com/YyaXjnp.png)
3.8 Переходим во вкладку "Отработка отказа", увидим, что все настройки применились корректно;
![](https://i.imgur.com/8SxlbOz.png)
### Часть 4. Групповые политики
При помощи групповых политик решаем следующие задачи:
* Включаем возможность логирования сетевых файловых ресурсов
* Настраиваем набор политик для защиты от mimikatz
* Применяем политики для генерации событий, необходимых SIEM

#### Политика аудита
4.1 Зайдем в Group policy management;
![](https://i.imgur.com/EIVB0I2.png)
4.2 Развернем вложенные меню, для того чтобы увидеть две базовые политики в папке "Group policy object" и ссылки на них в OU, куда они были применены:
* Default Domain Controllers Policy
* Default Domain Policy
![](https://i.imgur.com/9lAY5SS.png)
Доменная политика применяется ко всему домену.

4.3 Отредактируем политику контроллеров домена "Default Domain Controllers Policy" -> Edit;
![](https://i.imgur.com/c7IupXZ.png)
4.4 Настроим политику компьютера "Object Access";
![](https://i.imgur.com/RIm73wh.png)
4.5 Включим аудит сетевых папок;
![](https://i.imgur.com/hHen9MX.png)
4.6 Включим аудит файловой системы;
![](https://i.imgur.com/guNdlLS.png)
Данная политика применима к dc1 и dc2. В дальнейшем мы создадим на них файловый сетевой ресурс и сможем увидеть, например, события удаления файлов.
#### Политика защиты от mimikatz
**Запрет Debug**
4.7 Создадим новую политику в папке "Group Policy Object";
![](https://i.imgur.com/nVF7OH7.png)
4.8 Навываем ее "mimikatz_block_debug";
![](https://i.imgur.com/YoODe4c.png)
4.9 Перейдем в настройки данный политики -> Edit;
![](https://i.imgur.com/NxZ09Z1.png)
4.10 Находим политику "Debug programs";
![](https://i.imgur.com/Hcrn8Sc.png)
4.11 Применим политику так, чтобы только у администратора и ADMPetr были права отладки;
![](https://i.imgur.com/6A8TQzN.png)
4.12 Применим политику к домену, чтобы она работала на всех ПК домена;
![](https://i.imgur.com/ulnofCb.png)
![](https://i.imgur.com/QZJrhxs.png)
4.13 Проверяем. На pc1 можно проверить срабатывает ли mimikatz. Перед скачиванием mimikatz необходимо отключить защитник Windows.

Для Администратора - ему разрешено;
![](https://i.imgur.com/nvzcC5H.png)
Для Petr - ему не разрешено;
![](https://i.imgur.com/JVNCdOx.png)
Для ADMIgor - ему не разрешено;
![](https://i.imgur.com/e44W48P.png)
#### Отключение WDigest

На современных системах уже не актуально, так как хранение пароля в открытом виде по умолчанию запрещается WDigest, начиная с Windows 8.1 и Windows Server 2012 R2.
Если используются более старые системы, то необходимо установить специальное обновление - KB2871997, а после этого с помощью полтика выставить параметры реестра для запрета хранения открытых паролей WDigest.

4.14 Редактируем существующую политику "mimikatz_block_debug", так как WDigest нужно аналогично отключить на всех ПК. Находим пункт правки реестра;
![](https://i.imgur.com/HRlalHC.png)
4.15 Создаем новый элемент реестра;
![](https://i.imgur.com/HjlnKjt.png)
4.16 Переходим по ветке реестра "SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest" -> Объявляем имя параметра "UseLogonCredential" -> Значение decimal выставляем 0 -> Apply -> OK;
![](https://i.imgur.com/qDfiINJ.png)
4.17 Данная настройка применится ко всех компьютерам домена и пропишет в реестр необходимый параметр, отключающий хранение в открытом виде пароля для авторизации в IIS;
![](https://i.imgur.com/IiKJDDu.png)
**Защита LSA от подключения сторонних модулей**
В Windows 8.1 и Windows Server 2012 R2 появилась возможность включить защиту LSA, которая защищает память LSA и предотвращает подключение к ней незащищенных процессов.
Чтобы включить эту защиту, вам необходимо создать параметр RunAsPPL со значением 1 в разделе реестра "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA".
4.18 Добавим в политику "mimikatz_block_debug" новый параметр реестра;
![](https://i.imgur.com/q1AiUra.png)
4.19 Настроим параметр, активирующий защиту LSA "SYSTEM\CurrentControlSet\Control\Lsa" -> Объявляем имя параметра "RunAsPPL" -> Значение decimal выставляем 1 -> Apply -> OK;
![](https://i.imgur.com/AIEU4Cc.png)
Теперь подключаемые модули без подписи, а также модули, не имеющие подписи Microsoft, не буду загружаться в "LSA".
#### Настройка политик для SIEM
Для полноценного логирования домена необходимо провести настройки политик. Без этих логов SIEM не сможет обнаружить множество атак на домен.
**Включение аудита командной строки и Powershell**
4.20 Создадим политику аудита "audit_services_cmd_posh";
![](https://i.imgur.com/YCkE1m5.png)
4.21 Переходим в ветку как на скриншоте;
![](https://i.imgur.com/uU00PPF.png)
4.22 Активируем параметр "Include command line in process creation events";
![](https://i.imgur.com/HUXTC8S.png)
4.23 Переходим в ветку как на скриншоте;
![](https://i.imgur.com/4ETiBvg.png)
4.24 Активируем параметр "Turn on Module Logging";
![](https://i.imgur.com/KHXmkJ4.png)
4.25 Применим политику на домен;
![](https://i.imgur.com/lCRRnHh.png)
#### Активация журналирования контроллера домена
Настроим журналирование LDAP запросов и неудачные попытки выгрузки членов доменных групп через протокол SAMRPC.

4.26 Отредактируем политику контроллеров домена -> Edit;
![](https://i.imgur.com/qx5lFfP.png)
4.27 Создадим новый объект правки реестра;
![](https://i.imgur.com/FiwDmxf.png)
4.28 Изменим параметр реестра. Этот параметр уже существует, мы его изменяем. "SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics" -> Имя параметра "15 Field Engineering" -> Select -> Значение decimal выставляем 5 -> Apply -> OK;
![](https://i.imgur.com/9pagc67.png)
![](https://i.imgur.com/aadvyqJ.png)
4.29 Создадим 2 новых параметра реестра;
![](https://i.imgur.com/LsQhT1V.png)
![](https://i.imgur.com/5k60sXf.png)
После данных манипуляций в журнале "Directory Service" будут создаваться события с идентификатором 1644 для каждого LDAP запроса.

4.30 Настроим параметр для контроллеров домена, разрешающий определенным пользователям выгружать членов доменных групп;
![](https://i.imgur.com/xOuQO8C.png)
4.31 Разрешим доступ на выгрузку для группы пользователей "Administrators" и пользователю "ADMPetr";
![](https://i.imgur.com/TJSXjv3.png)
4.32 Настроим журналирование попыток выгрузки, добавим еще один параметр в реестр;
![](https://i.imgur.com/HOhUFOs.png)


























































































