---
# System prepended metadata

title: Untitled

---

Занятие 5. Обмен данными в домене и средства мониторинга Windows
Практическая работа №5.1 Обмен данными в домене 
1. Для начала установим роль DFS на ws-en. Перейдём в установку ролей и компонентов. Отметим роли DFS Namespases и DFS Replication. Установим роли. Выполним аналогичную установку на ws-ru.
   ![](https://i.imgur.com/UfaglGj.jpg)
2. Зайдём в управление DFS. Создадим новый namespace. Укажем сервер, являющийся сервером имён для DFS. Укажем имя создаваемого пространства и перейдём в edit settings. Настроим кастомные права, указав возможность чтения и записи для всех пользователей. Оставим настройки по умолчанию. Создадим пространство имён
   ![](https://i.imgur.com/AVTBVmY.jpg)
3. Создадим папку share. И папки отделов внутри, + папку all_share
   ![](https://i.imgur.com/aZlGZMh.jpg)
4. Каждую эту папку нужно сделать сетевой. Идём в настройки папки (сделаем на примере buhg). Вкладка sharing, пунк advanced sharing. Активируем галочку шаринга, а вконце имени сетевой папки ставим знак . После идём в permissions. Выставляем права на чтение и запись для buhg-sec (права -- change, read) и domain admins (права -- full control), а группу everyone удаляем. После нажимаем apply. Аналогичные действия нужно сделать для остальных папок, но выдавая права на группы безопасности отделов. Для all_share выдать доступ на read write для группы everyone
   ![](https://i.imgur.com/rIhcvwe.jpg)
5. Теперь создадим папки в DFS. В меню DFS нажмём кнопку "new folder". Укажем имя папки. Добавим target. Теперь по сетевому пути  видны сетевые папки
   ![](https://i.imgur.com/BJYqTSj.jpg)
6. Изменим права security у папки Buhg. Нажмём кнопку Edit. Нажмём кнопку Add, чтобы добавить группу Buhg-sec. Дадим права в том числе и на midify. Нужно проделать по аналогии со всем другими папками. Для папки all_share выставить в параметрах доступ для группы everyone (аналогично, в т.ч. и на modify)
   ![](https://i.imgur.com/cNOeRTs.jpg)
   
Практическая работа №5.2 Средства мониторинга Windows
1. Решим задачу с настройкой логирования удаления файлов с сетевых файловых ресурсов на ws-en. Зайдём в настройки папки share. Security -> Advanced. Зайдём во вкладку Аудит и нажмём Add, чтобы добавить правило аудита. Выберем Principal. Отметим группу Domain Users. Выставим type=all, чтобы мониторить как успех, так и отказ. Нажмём кнопку show advanced permissions. Отметим галочкой оба пункта Delete и нажмём ОК. Правило создано для папки share, а так же всех её вложенных папок и файлов
   ![](https://i.imgur.com/25Bz96N.jpg)
2. Создадим в папке all_share папку folder-for-delete для тестирования генерации событий. На win10 от имени пользователя Olga попробуем удалить папку folder-for-delete из папки all_share. Проверим журнал безопасности ws-en. Событий много, отфильтруем их. Зайдём в меню filter current log и введём интересующие нас id событий в поле фильтра
   ![](https://i.imgur.com/4TCetSN.jpg)
   ![](https://i.imgur.com/KN4DXXG.jpg)
   ![](https://i.imgur.com/9Iea3KH.jpg)
3. Инфраструктура отправки журналов Windows в SIEM. Включим сервис сборщика логов и подтвердим его автостарт
   ![](https://i.imgur.com/dLYKBEZ.jpg)
4. Настроим политику отправки журналов на logcollector. Зайдём в редактор групповой политики и создадим новую, log_delivery. Найдём пункт включения службы WinRM. Включим службу
   ![](https://i.imgur.com/qHBpUp2.jpg)
5. Найдём пункт настройки менеджера подписок. Активируем его. Настроим путь до логколлектора
   ![](https://i.imgur.com/gzH32wo.jpg)
6. Сохраним и закроем меню редактирование политики. Применим фильтр безопасности, чтобы политика применилась только к win10. По умолчанию поиск не происходит среди компьютеров. Изменим это, выберем типы объектов для поиска. Укажем тип объектов. И проведем поиск по имени win10. После удалим группу аутентифицированных пользователей, она не пригодится
   ![](https://i.imgur.com/5vHAFmd.jpg)
7. Найдём меню создания правил брандмауэра и создадим новое правило inbound. Выберем преднастроенное правило для WinRM. Создадим это правило только для доменной и частной сети. Разрешим подключение
   ![](https://i.imgur.com/6hBXmqc.jpg)
8. После применения порт на PC1 откроется и позволит выполнять WinRM команды, с помощью которых собираются логи с windows машин. Теперь нужно донастроить политику так, чтобы у учетной записи сборщика были права на доступ к журналам, которые мы собираем в коллектор. Для настройки политики нам понадобится дескриптор безопасности журнала. Найдём его на win10
   ![](https://i.imgur.com/FLhHyPs.jpg)
9. Настроим доступ УЗ до журнала security. Активируем политику и введём параметр channelAccess
   ![](https://i.imgur.com/vXKGwBi.jpg)
10. И отдельно добавим учетную запись, которую в дальнейшем будем использовать для чтения журналов, в группу читателей журнала. Зайдём в политику локальных групп и добавим правило для локальной группы. Локальная группа - читатели журнала событий. Пользователи - администраторы домена. Применяем-сохраняем
   ![](https://i.imgur.com/wPEAjRd.jpg)
11. Применим на домен
    ![](https://i.imgur.com/j4gc9e0.jpg)
12. Настроим приём логов на коллекторе. Пройдя в event viewer, зайдём в меню подписок и подтвердим автоматическое включение службы. Создадим новую подписку. Назовём её collector-get и отметим ПК, с которых коллектор будет собирать логи. Выберем доменные компьютеры. Выберем WIN10. Нажмём кнопку Test чтобы проверить сетевую связность
    ![](https://i.imgur.com/xmOwCtW.jpg)
13. Зайдём в меню select events и выберем нужные журналы. Зайдём в меню Advanced, укажем для сбора УЗ администратора. Подтвердим настройки, увидим созданую подписку
    ![](https://i.imgur.com/Glciuer.jpg)
14. Дадим доступ сетевой службе до чтения журнала безопасности, выполним команду wevtutil set-log security /ca:0:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20) на win10. После чего увидим логи в журнале forwarded events
    ![](https://i.imgur.com/VOTl2Ha.jpg)
15. Настройка сборщика логов при компьютерах-инициаторах. На сервере-коллекторе выполнить команду winrm qc, ответить согласием на оба последующих вопроса
    ![](https://i.imgur.com/CnARnSD.jpg)
16. На сервере-коллекторе выполнить команду wecutil qc, согласиться на включение службы сборщика событий Windows
    ![](https://i.imgur.com/V0QnVvR.jpg)
17. На источниках событий следует включить службу WinRM
18. Создать подписку, где инициатором будут компьютеры
    ![](https://i.imgur.com/TFHL4Lj.jpg)
    ![](https://i.imgur.com/nppqA6j.jpg)
    ![](https://i.imgur.com/5x5eBPX.jpg)
    ![](https://i.imgur.com/EW1PeN3.jpg)













   











   