---
# System prepended metadata

title: Windows_Basic-Остапенко_Владимир-Практика-5

---

# Windows_Basic-Остапенко_Владимир-Практика-5


## Практическая работа №5.1 Обмен данными в домене.


### Задание
1) Настроить инстанс обмена данными

---

### Часть 1. Настройка инстанса обмена данными.

#### Устанавливаю роли DFS Namespases и DFS Replication на dc1
![](https://i.imgur.com/y3J66Nf.png)

> Установка завершена
> ![](https://i.imgur.com/dLS3xbX.png)

#### Проделаю ту же операцию на dc2
![](https://i.imgur.com/PemnjSj.png)

#### В DFS Manager создам новый namespace (на dc1)

1) ![](https://i.imgur.com/0SnR1I1.png)

2) ![](https://i.imgur.com/48q2JHy.png)

3) ![](https://i.imgur.com/bAY8D5O.png)

4) ![](https://i.imgur.com/ctYwXOr.png)

5) ![](https://i.imgur.com/qHNm2mA.png)


> Успех.

#### Проверяю, что инстанс создан
> ![](https://i.imgur.com/HBiXQsC.png)


#### Создаю папку share
![](https://i.imgur.com/iAArL8u.png)

#### Внутри создаю следующие папки (в т.ч. папку all_share): 
![](https://i.imgur.com/904RmzE.png)

#### Делаю каждую папку сетевой:
![](https://i.imgur.com/BulUlUw.png)

> В качестве примера приведена папка Buhg 

> Завершено
> ![](https://i.imgur.com/w3Nbo7c.png)


#### Теперь создам папки в DFS.
![](https://i.imgur.com/cREXKAg.png)

#### По сетевому пути доступны все папки => задача выполнена
![](https://i.imgur.com/gIwf80r.png)

#### Изменю права security у всех папок, в качестве примера рассмотрю папку Buhg
![](https://i.imgur.com/qlVZatx.png)

#### Дополнительное задание настроить репликацию DFS на dc2

1) Аналогично с dc1 создаём и настраиваем папки. 
![](https://i.imgur.com/tiOEPsA.png)

2) Добавляю новое пространство имён и вношу туда все папки
![](https://i.imgur.com/5PlcPUz.png)

> Проверяю, что папки отображаются в сети
> ![](https://i.imgur.com/yxMbjdY.png)


3) Настраиваю репликацию для всех папок. Далее пример для папки HR:

* Выбираю папку, через ПКМ открываю меню "Добавить конечный объект папки..."
![](https://i.imgur.com/fyfgI7Y.png)

* Выбираю соответсвующую папку с dc1
![](https://i.imgur.com/lwAA1VW.png)

* Соглашаюсь и создаю новую группу
![](https://i.imgur.com/9zJqcXD.png)

* До этапа "Основной член" оставляю всё без изменений и жму далее. А в данном пункте выбираю основной член репликации - dc1
![](https://i.imgur.com/HAUP9X3.png)

* Топологию оставляю без изменений
![](https://i.imgur.com/ugUTuBa.png)

* Оставляю постоянную репликацию
![](https://i.imgur.com/W4h5WC8.png)

* Проверяю настройки
![](https://i.imgur.com/gbbbJso.png)

* Репликация успешно создана
![](https://i.imgur.com/dPXSc1c.png)


> Повторяю процесс для остальных папок
> ![](https://i.imgur.com/YdmjHcc.png)

4) Выполню проверку. Создаю текстовый документ в папке HR на dc1
![](https://i.imgur.com/WaQGyre.png)
Через небольшой помежуток времени файл появился и на dc2
![](https://i.imgur.com/hPdjq5n.png)
Успех!

--- 

### Заключение

По итогу проделанной работы:

1) Был настроен инстанс обмена данными
+настроена репликацая DFS на dc2
 
---


## Занятие 5 - Обмен данными в домене и средства мониторинга Windows

# Задание:

1) Настроить файловый ресурс с целью журналирования событий удаления объектов
2) Настроить отправку журналов с помощью инструментария windows в соответствии с методическими материалами
3) Настроить сборщик журналов


---


### Часть 2. Управление средствами мониторинга Windows

#### Перейду в меню Advenced в свойствах Security папки share (dc1)
![](https://i.imgur.com/dKqCbog.png)

#### Добавлю новое правило аудита, выбераю пункт PrincipalDomain и отмечаю группу Domain Users
![](https://i.imgur.com/gg8NC2x.png)

#### Выставлю type=all, отмечу галочкой оба пункта Delete
![](https://i.imgur.com/wv9LV0k.png)

> Правило создано
![](https://i.imgur.com/6XqZXSO.png)

#### В папке all_share создаю папку folder-for-delete 
![](https://i.imgur.com/UTU5lQh.png)

#### На pc1 от имени пользователя Olga удалю папку folder-for-delete из папки all_share
![](https://i.imgur.com/6bh4RkJ.png)

#### Проверю журнал безопасности dc1
![](https://i.imgur.com/dHmIJqj.png)

#### Отфильтрую по id событий 4656, 4659, 4660, 4663
![](https://i.imgur.com/1sg128O.png)

#### Из множества событий, нас интересуют следующие:

1) ![](https://i.imgur.com/GMEk8h4.png)
2) ![](https://i.imgur.com/drJGkYj.png)
3) ![](https://i.imgur.com/l9h3x6I.png)


---


### Часть 3. Инфраструктура отправки журналов Windows в SIEM


#### Включу сервис сборщика логов и подтвердим его автостарт
![](https://i.imgur.com/CIFB7cH.png)


#### Создадам новую груповую политику - log_delivery
![](https://i.imgur.com/MWnSBYe.png)


#### Нахожу пункт включения службы WinRM
![](https://i.imgur.com/KaQBdTu.png)


#### Включу службу
![](https://i.imgur.com/gOoPsO8.png)


#### Нахожу пункт настройки менеджера подписок
![](https://i.imgur.com/0mDMZLD.png)



#### Активирую его
![](https://i.imgur.com/RATVdgc.png)



#### Настроим путь до логколлектора
![](https://i.imgur.com/DYFHSJc.png)



#### Применю фильтр безопасности, чтобы политика применилась только к pc1
![](https://i.imgur.com/90sZzek.png)



#### Проведу поиск по имени pc1
![](https://i.imgur.com/TExXHsf.png)



#### Удалю группу аутентифицированныхпользователей
![](https://i.imgur.com/vm4Kyhx.png)



#### Найду меню создания правил брандмауэра и создам новое правило inbound
![](https://i.imgur.com/EH2p7Wl.png)


1) ![](https://i.imgur.com/yCu2Sj5.png)
2) ![](https://i.imgur.com/Q7aen6r.png)
3) ![](https://i.imgur.com/OXjFUNz.png)



#### Теперь найдём дескриптор безопасности журнала на pc1
![](https://i.imgur.com/r6BUMrD.png)


> Команда: 
``` bash
wevtutil gl security
```

#### Настрою доступ УЗ до журнала security
![](https://i.imgur.com/ILggYXG.png)


#### Активирую политику и введу параметр channelAccess
![](https://i.imgur.com/3UBxD8U.png)



> Значение параметра: O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)



#### Отдельно добавлю учетную запись, которую в дальнейшем буду использовать для чтения журналов, в группу читателей журнала. Зайду в политику локальных групп и добавлю правило для локальной группы
![](https://i.imgur.com/BhL8Btj.png)


#### Итог:
![](https://i.imgur.com/rCIS9gI.png)



#### Применяю на домен
![](https://i.imgur.com/nS8LVQy.png)
![](https://i.imgur.com/0u6MXBn.png)



#### Перехожу к настройке приёма логов на коллекторе. Прохожу в event viewer, далее в меню подписок и подтверждаю автоматическое включение службы

> Случайно зашёл сюда ранее, от чего оповещение о подтвержении не появилось вновь -> не смог сделать скриншот


#### Создам новую подписку
![](https://i.imgur.com/nljSr5L.png)


#### Назову её collector-get и омечу ПК, с которых коллектор будет собирать логи 
![](https://i.imgur.com/esHvGFc.png)


#### Проверяю сетевую связность. Успех!
![](https://i.imgur.com/wm4siu4.png)


#### В меню select events и выбераю нужные журналы
![](https://i.imgur.com/nd1v6pw.png)


#### В меню Advanced, указываю для сбора УЗ администратора - admpetr
![](https://i.imgur.com/On73Gs0.png)


#### Проверю, нет ли ошибок. Отсутствие ошибок - Успех!
![](https://i.imgur.com/VWkrPUc.png)



#### Предоставлю доступ сетевой службе до чтения журнала безопасности, выполнив команду на pc1
![](https://i.imgur.com/AN74iDG.png)


> Команда: 
> ```bash
> wevtutil set-log security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)
> ```

#### После чего появляются логи в журнале forwarded events - Успех!
![](https://i.imgur.com/WrctvOW.png)



---


### Часть 4. Настройка сборщика логов при компьютерах-инициаторах

#### На сервере-коллекторе (dc1) выполняю команды winrm qc и wecutil qc
![](https://i.imgur.com/pBIKgHl.png)


#### На источниках событий включаю службу WinRM
![](https://i.imgur.com/aeJxLGo.png)


#### Подписка, где инициатором будут компьютеры
![](https://i.imgur.com/6O1gJX5.png)

---

### Заключение

По итогу проделанной работы:

1) Был настроен файловый ресурс с целью журналирования событий удаления объектов
2) Была настроена отправка журналов с помощью инструментария windows в соответствии с методическими материалами
3) Был настроен сборщик журналов
 
---