# Занятие 5. Обмен данными в домене и средства мониторинга Windows

> - [x] Часть 1. Настройка инстанса обмена данными.
> > 1. Для начала установим роль DFS на dc1. Перейдём в установку ролей и компонентов
> > 
> > 2. Отметим роли DFS Namespases и DFS Replication
> > 
> > 3. Установим роли
> > 4. Зайдём в управление DFS
> > 
> > 5. Создадим новый namespace
> > 
> > 6. Укажем сервер, являющийся сервером имён для DFS. Это будет наш dc1
> > 
> > 7. Укажем имя создаваемого пространства и перейдём в edit settings
> > 
> > 8. Настроим кастомные права, указав возможность чтения и записи для всех пользователей
> > 
> > 9. Оставим настройки по умолчанию (domain namespase)
> > 
> > 10. Создадим пространство имён
> > 
> > 11. Успех
> > 
> > 12. Можно проверить, что инстанс создан, пройдя по пути
> > 
> > 13. Создадим папку share
> > 
> > 14. И папки отделов внутри, + папку all_share
> > 
> > 15. Каждую эту папку нужно сделать сетевой. Идём в настройки папки (сделаем на примере buhg)
> > 
> > 16. Вкладка sharing, пунк advanced sharing
> > 
> > 17. Активируем галочку шаринга, а вконце имени сетевой папки ставим знак . После идём в permissions
> > 
> > 18. Выставляем права на чтение и запись для buhg-sec (права -- change, read) и domain admins (права -- full control), а группу everyone удаляем. После нажимаем apply
> > 
> > 19. Нам покажут относительный dc1 путь до папки по сети. Закрываем меню
> > 
> > 20. Вот так будет выглядеть настройка all_share. Доллар ставить не обязательно, всё равно группа everyone увидит ресурс
> > 
> > 21. После создания папок они отобразятся в сетевом пути до dc1. Но мы преследуем другую цель. Теперь создадим папки в DFS. В меню DFS нажмём кнопку "new folder"
> > 
> > 22. Укажем имя папки (именно с этим именем она отобразится в dfs-пути)
> > 
> > 23. Добавим target. Имеется ввиду то, что мы по сути создаем всего лишь ярлык, который будет ссылаться на папку, которую мы укажем в target
> > 
> > 24. Можно либо сразу указать сетевой путь до папки, либо воспользоваться browse
> > 
> > 25. Увидим список всех расшаренных папок на dc1. Выберем нужную
> > 
> > 26. Сетевой путь до папки отобразится, можно подтверждать и применять настройки
> > 
> > 27. Теперь по сетевому пути видны сетевые папки
> > 
> > 28. Изменим права security у папки Buhg. Нажмём кнопку Edit
> > 
> > 29. Нажмём кнопку Add, чтобы добавить группу Buhg-sec
> > 30. Дадим права в том числе и на modify
> > 

> - [x] Часть 2. Управление средствами мониторинга Windows
> >
> > 1. Зайдём в настройки папки share
> > 
> > 2. Security -> Advanced
> > 
> > 3. Зайдём во вкладку Аудит и нажмём Add, чтобы добавить правило аудита
> > 
> > 4. Выберем Principal -- это объект, действия которого нужно логировать
> > 
> > 5. Отметим группу Domain Users
> > 
> > 6. Выставим type=all, чтобы мониторить как успех, так и отказ. Нажмём кнопку show advanced permissions
> > 
> > 7. Отметим галочкой оба пункта Delete и нажмём ОК
> > 
> > 8. Правило создано для папки share, а так же всех её вложенных папок и файлов
> > 
> > `Создам в папке all_share папку folder-for-delete для тестирования генерации событий`
> > 9. На pc1 от имени пользователя Lida попробуем удалить папку folder-for-delete из папки all_share
> > 
> > 10. Проверим журнал безопасности dc1
> > 
> > 11. Событий много, отфильтруем их. Зайдём в меню filter current log и введём интересующие нас id событий (4656, 4659, 4660, 4663) в поле фильтра
> > 
> > 12. По итогу вы увидите много подряд идущих событий, из которых 3 явно нас интересуют
> > 
> > 
> > 

> - [x] Часть 3. Инфраструктура отправки журналов Windows в SIEM
> >
> > 1. Включим сервис сборщика логов и подтвердим его автостарт
> > 
> > 2. Настроим политику отправки журналов на logcollector. Зайдём в редактор групповой политики и создадим новую, log_delivery
> > 
> > 3. Найдём пункт включения службы WinRM
> > 
> > 4. Включим службу
> > 
> > 5. Найдём пункт настройки менеджера подписок
> > 
> > 6. Активируем его
> > 
> > 7. Настроим путь до логколлектора
> > 
> > 8. Сохраним и закроем меню редактирование политики. Применим фильтр безопасности, чтобы политика применилась только к pc1.
> > 
> > 9. По умолчанию поиск не происходит среди компьютеров. Изменим это, выберем типы объектов для поиска
> > 
> > 10. Укажем тип объектов -- компьютеры
> > 
> > 11. И проведем поиск по имени pc1 (введем имя и нажмём check names)
> > 
> > 12. После -- удалим группу аутентифицированных пользователей, она не пригодится
> > 
> > 13. Найдём меню создания правил брандмауэра и создадим новое правило inbound
> > 
> > 14. Выберем преднастроенное правило для WinRM
> > 
> > 15. Создадим это правило только для доменной и частной сети (снимем галочку с public)
> > 
> > 16. Разрешим подключение
> > 
> > 17. Для настройки политики нам понадобится дескриптор безопасности журнала. Найдём его на pc1
> > 
> > 18. Настроим доступ УЗ до журнала security
> > 
> > 19. Активируем политику и введём параметр channelAccess
> > 
> > 20. И отдельно добавим учетную запись, которую в дальнейшем будем использовать для чтения журналов, в группу читателей журнала. Зайдём в политику локальных групп и добавим правило для локальной группы
> > 
> > 21. Локальная группа -- читатели журнала событий.
> > 
> > 22. Пользователи -- администраторы домена (в реальной ситуации нужно добавлять пользователя, созданного для чтения журнала событий
> > 
> > 23. Вот так по итогу, применяем-сохраняем
> > 
> > 24. Применим на домен
> > 
> > 
> > 25. Настроим приём логов на коллекторе. Пройдя в event viewer, зайдём в меню подписок и подтвердим автоматическое включение службы
> > 26. Создадим новую подписку
> > 
> > 27. Назовём её collector-get и отметим ПК, с которых коллектор будет собирать логи (select computers)
> > 
> > 28. Выберем доменные компьютеры
> > 
> > 29. Выберем PC1
> > 
> > 30. Нажмём кнопку Test чтобы проверить сетевую связность
> > 
> > 31. Если возникнут проблемы с настройкой брандмауэра через GPO, то зайдите на PC1 и в CMD, запущенной от имени администратора, примените команду
> > 
> > 32. Зайдём в меню select events и выберем нужные журналы
> > 
> > 33. Зайдём в меню Advanced, укажем для сбора УЗ администратора
> > 
> > 34. Подтвердим настройки, увидим созданую подписку. Проверим, нет ли ошибок. Нам нужно меню Runtime Status
> > 
> > 35. Увидим отсутствие ошибок
> > 
> > 36. Дадим доступ сетевой службе до чтения журнала безопасности, выполним команду на pc1
> > 
> > 37. После чего увидим логи в журнале forwarded events
> > 

> - [x] Часть 4. Настройка сборщика логов при компьютерах-инициаторах
> >
> > 1. На сервере-коллекторе выполнить команду winrm qc, ответить согласием на оба последующих вопроса
> > 
> > `Уже запущено`
> > 2. На сервере-коллекторе выполнить команду wecutil qc, согласиться на включение службы сборщика событий Windows.
> > 
> > 3. На источниках событий следует включить службу WinRM (реализовано политикой в пункте 3.4)
> > 
> > 4. Создать подписку, где инициатором будут компьютеры
> > 
> > 
> > Отключил предыдущую подписку
> > 
> > Пришло событие с новой подписки
> >