Практическая работа №5
==
Практическая работа №5.1
==
# Часть 1. Настройка инстанса обмена данными.
Добавляем роли DFS Namespases и DFS Replication:

Установка закончена:

Также на сервере dc2:

Создаем новый namespace, указываем сервер имен DFS:

Укажем имя пространства:

Дадим всем права на чтение и запись:

Успешно создано:

Доступно в проводнике:

Создаем нужные папочки:

Выдаем нужные права на Buhg:

Для остальные папок проделываем аналогично - для группы безопасности Read&Change, для группы domain admins - Full control

Настройки all_share:

Настройки HR:

Настройки Progr:

Настройки для Sysadmins:

Настройки для VIP:

Добавляем общие папки в DFS:

Получится так, все папки видны в сети:

Выдадем buhg-sec права на папку Buhg:

Далее выдаем права для соответствующих групп и на другие папки согласно заданию

# Дополнительное задание. Репликация
На dc2 создаем точно такую жу структуру папок:

Далее делаем их общими, права доступа к ним НЕ меняем

НЕ создаем на dc2 никакого пространства имен и ничего туда не добавляем

На dc1 в DFS managment в меню конкретной папки выбираем Add Folder Target:

Указываем нужную папку на dc2:

Соглашаемся на создание группы репликации:

Указываем имя группы и папки:

Указываем dc1 как первичный сервер:

Выбираем топологию:

Указываем параметры репликации:

Создание успешно:

Папки отображаются на вкладке Replecation:

Аналогично проделываем для каждой соответствующей пары папок на dc1 и dc2:

Практическая работа №5.2
==
# Часть 2. Управление средствами мониторинга Windows
Создаем правило аудита для папки share:

Оно не наследовалось подпапками (и событий тоже не было):

После нажатия Enable Inheritance все окей:

После удаления папки отфильтруем события:

Увидим три события с нужными ID:

Событие проверки прав:

Событие удаления (осуществления доступа):

Событие аудита, handleID совпадает:

# Часть 3. Инфраструктура отправки журналов Windows в SIEM
Включаем сервис сборщика логов:

Создадим новую групповую политику:

Вклюючим WinRM:

Настроим путь до логколлектора:

Зададим фильтр безопасности:

Создадим правило для брандмауэра:

Правило только для доменной и частной сети:

Разрешаем подключение:

Посмотрим дескриптор безопасности журнала на pc1:

Дескриптор: O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)

Настроим доступ к журналу:

Добавим администраторов домена в группу Event Log Readers:

Применяем политику к домену:

Применяем групповую политику на PC1:

После подключаем его в подписках:

Укажем нужные журналы:

Укажем ADMPetr как УЗ для сбора логов:

Ошибок в runtime status нет:

Дадим доступ сетевой службе на чтение журналов:

На Win10 зайдем под другим пользователем и увидим логи:

# Часть 4. Настройка сборщика логов при компьютерах-инициаторах
На dc1 winRM уже работает:

Включаем службу сборщика событий:

Служба winRM на pc1 уже включена групповой политикой

Создаем подписку в режиме Source Computer Initiated:

Указываем компьютер-источник:

Указываем нужные логи:

Ошибок нет:

Пока отключим первую подписку, чтобы проверить работу второй:

Было после отключения первой подписки:

Через некоторое время логи возобновляются: