# Занятие 4. Инфраструктурные сервисы в домене
> - [x] Часть 1. DNS
> > 1. Зайдём в оснастку DNS
> > 
> > 2. Просмотрим текущие DNS записи
> 
> > 3. Настроим форвард. Перейдём в настройки сервера DNS
> > 
> > 4. Откроем вкладку "forwarders"
> > 
> > 5. Зайдём в пункт "edit"
> > 
> > 6. Введём адрес mikrotik. Именно он будет перенаправлять DNS запросы на внешние сервера
> > 7. Увидим, что настройка прошла корректно
> > 
> > 8. Закроем окно и применим настройки, после чего закроем окно свойств DNS
> > 9. Настроим зону обратного просмотра. Нажмём ЛКМ на "reverse lookup zone", а после нажмём на неё ПКМ
> > 
> > 10. Нажмём "new zone". Откроется меню создания зоны. NEXT
> > 
> > 11. Оставляем пункт "primary zone". NEXT
> > 
> > 12. Аналогично оставляем по умолчанию параметры репликации. NEXT
> > 
> > 13. Настроим IPv4 зону. NEXT
> > 
> > 14. Введём идентификатор зоны без последнего ip октета. Это наша сеть, для которой будет создана зона обратного просмотра. NEXT
> > 
> > 15. Оставим пункт по умолчанию для динамического обновления зоны.
> > 
> > 16. Сверимся с итоговыми настройками и завершим конфигурацию
> > 
> > 17. Увидим созданную обратную зону
> > 

> - [x] Часть 2. DHCP
> > 1. Откроем оснастку DHCP
> > 
> > 2. Развернём меню DHCP и выделим IPv4
> > 
> > 3. Нажмём на IPv4 ПКМ и выберем "new scope"
> > 
> > 4. Приступим к созданию области DHCP. NEXT
> > 
> > 5. Введём имя области, например pool1. NEXT
> > 
> > 6. Укажем диапазон выдаваемых адресов. NEXT
> > 
> > 7. Не будем указывать исключения из диапазона. NEXT
> > 
> > 8. Оставим время аренды по умолчанию, 8 дней. NEXT
> > 
> > 9. Сконфигурируем область сейчас. NEXT
> > 
> > 10. Введём адрес роутера и нажмём "add". NEXT
> > 
> > 11. Введём адрес резервного контроллера домена, он же будет резервным DNS. Нажмём "add"
> > 
> > 12. WINS серверов у нас не будет. NEXT
> > 
> > 13. Активируем область сейчас
> > 
> > 14. Завершим работу визарда
> > 
> > 15. Новая область появится в меню, можно будет просмотреть её параметры
> > 
> > 16. Настроим Win10 на автоматическое получение параметров сети по DHCP
> > 
> > 17. Настроим Kali Linux на автоматическое получение параметров сети по DHCP
> > 
> > 18. Вы увидите информацию об аренде на dc1 в меню "address leases"
> > 

> - [x] Часть 3. Отказоустойчивый DHCP
> > 1. Нажмём ПКМ на scope и выберем "configure failover"
> > 
> > 2. Выберем ip пулы для резервирования (он у нас один и будет выбран по умолчанию, так что NEXT)
> > 
> > 3. Выберем сервер-партнёр.Нажмём "add server"
> > 
> > 4. В меню добавления сервера выберем в качестве резервного dc2
> > 
> > 5. После добавления идём дальше. NEXT
> > 
> > 6. Настроим failover. Выберем режим Hot Standby и снимем галочку с пункта аутентификации. Хоть это и не безопасно, но в рамках нашей работы не принципиально
> > 
> > 7. Подтвердим настройки
> > 
> > 8. Увидим вывод успешного создания кластера и закроем меню
> > 
> > 9. Проверим, что всё работает хорошо. Перейдём в dc2 в оснастку dhcp и просмотрим свойства области, которая там появилась
> > 
> > 10. Перейдём в меню "отработка отказа" и увидим, что все настройки применились корректно
> > 

> - [x] Часть 4. Групповые политики
> > 1. Зайдём в Group policy management
> > 
> > 2. Развернём вложенные меню, увидим две базовые политики в папке "Group policy object" и ссылки на них в OU, куда они были применены
> > 
> > 3. Отредактируем политику контроллеров домена
> > 
> > 4. Настроим политику компьютера Object Access
> > 
> > 5. Включим аудит сетевых папок
> > 
> > 6. Включим аудит файловой системы
> > 
> > 7. Создадим новую политику в папке GPO
> > 
> > 8. Назовём её mimikatz_block_debug
> > 
> > 9. Перейдём в настройки политики
> > 
> > 10. Найдём политику debug
> > 
> > 11. Настроим политику так, чтобы только у администратора и ADMPetr были права отладки
> > 
> > 12. Применим политику к домену, чтобы она сработала на всех ПК домена
> > 
> > 
> > 13. Пункт для проверки(выполнять не обязательно): На pc1 можно проверить, срабатывает ли mimikatz. Скачать его можно с github, но на pc1 нужно выключить защитник windows
> > ADMPetr:
> > 
> > ADMIgor:
> > 
> >
> > **Отключение WDigest**
> >
> > 14. Редактируем существующую политику mimikatz_block_debug, так как WDigest нужно аналогично отключить на всех ПК. Находим пункт правки реестра
> > 
> > 15. Создаем новый элемент реестра
> > 
> > 16.
> > 
> > 17. Применяем. Данная настройка применится ко всем компьютерам домена и пропишет в реестр нужный параметр, отключающий хранение в открытом виде пароля для авторизации в IIS
> > 
> >
> > **Защита LSA от подключения сторонних модулей**
> >
> > 18. Добавим в политику mimikatz_block_debug новый параметр реестра
> > 
> > 19. Настроим параметр, активирущий защиту LSA
> > 
> >
> > **Настройки политик для SIEM**
> >
> > Для полноценного логирования домена необходимо провести настройки политик. Без этих логов SIEM не сможет обнаружить множество атак на домен.
> >
> > **Включение аудита командной строки и powershell**
> >
> > 20. Создадим политику аудита audit_services_cmd_posh
> > 
> > 21. Перейдём в ветку "Административные шаблоны"/"Система"/"Аудит создания процессов"
> > 
> > 22. Активируем параметр "Включить командную строку в события создания процессов"
> > 
> > 23. Перейдём в ветку "Административные шаблоны"/"Компоненты Windows"/"Windows PowerShell"
> > 
> > 24. Выберем пункт "Включить ведение журнала и модулей"
> > 
> > 25. Включим этот параметр для содержимого
> > 
> > 26. Применим политику на домен
> > 
> > 
> >
> > **Активация журналирования контроллерах домена**
> >
> > 27. Отредактируем политику контроллеров домена
> > 
> > 28. Создадим новый объект правки реестра
> > 
> > 29. Изменим параметр реестра . Этот параметр уже существует, мы же его изменяем
> > 
> > 30. Изменим значение на 5. Внимание -- изменяем decimal значение
> > 
> > 31. Создадим 2 новых параметра реестра
> > 
> > 
> > 32. Настроим параметр для контроллеров домена, разрешающий только определенным пользователям выгружать членов доменных групп
> > 
> > 33. Дадим доступ на выгрузку для группы пользователей Administrators и пользователю ADMPetr
> > 
> > 34. В заключение настроим журналирование попыток выгрузки, добавим ещё один параметр в реестр
> >