# Windows_Basic-Малышев_Роман-Практика-5
*Выполнил Малышев Роман*
## Занятие 5 - Обмен данными в домене и средства мониторинга Windows
### Часть 1. Настройка инстанса обмена данными
1.1 Для начала установим роль DFS на dc1. Перейдём в установку ролей и компонентов.
1.2 Отметим роли DFS Namespases и DFS Replication.
1.3 Установим роли.
Аналогично устрановим на втором сервере (DC2).
1.4 Зайдём в управление DFS.
1.5 Создадим новый namespace.
1.6 Укажем сервер, являющийся сервером имён для DFS. Это будет dc1.
1.7 Укажем имя создаваемого пространства и перейдём в edit settings.
1.8 Настроим кастомные права, указав возможность чтения и записи для всех пользователей.
1.9 Оставим настройки по умолчанию (domain namespase).
1.10 Создадим пространство имён.
1.11 Успех.
1.12 Можно проверить, что инстанс создан, пройдя по пути.
**Теперь сначала создадим обычные сетевые папки, а потом соотнесём их с DFS путями**
1.13 Создадим папку share.
1.14 И папки отделов внутри, + папку all_share.
1.15 Каждую эту папку сделаем сетевой. Идём в настройки папки (сделаем на примере Buhg).
1.16 Вкладка sharing, пункт advanced sharing.
1.17 Активируем галочку шаринга, а вконце имени сетевой папки ставим знак. После идём в permissions. (Значек доллара скрывает папку от посторонних.)
1.18 Выставляем права на чтение и запись для buhg-sec (права -- change, read) и domain admins (права -- full control), а группу everyone удаляем. После нажимаем apply.
1.19 Нам покажут относительный dc1 путь до папки по сети. Закрываем меню.
Аналогичные действия сделаем для остальных папок, но выдавая права на группы безопасности отделов (папке HR -- группу HR-sec на чтение запись и т.п.). Для all_share выдать доступ на read write для группы everyone.
1.20 После создания папок они отобразятся в сетевом пути до dc1. Но мы преследуем другую цель. Теперь создадим папки в DFS. В меню DFS нажмём кнопку "new folder".
1.21 Укажем имя папки (именно с этим именем она отобразится в dfs-пути).
1.23 Добавим target. Имеется ввиду то, что мы по сути создаем всего лишь ярлык, который будет ссылаться на папку, которую мы укажем в target. Воспользуемся browse для указания сетевого пути.
1.24 Сетевой путь до папки отобразится, можно подтверждать и применять настройки.
Аналогично добавим все остальные папки.
1.25 Теперь по сетевому пути видны сетевые папки.
1.26 Изменим права security у папки Buhg. Нажмём кнопку Edit.
1.27 Нажмём кнопку Add, чтобы добавить группу Buhg-sec. Дадим права в том числе и на midify
1.28 Проделаем аналогично со всеми другими папками. Для папки all_share выставить в параметрах доступ для группы everyone (аналогично, в т.ч. и на modify).
### Часть 2. Управление средствами мониторинга Windows
Решим задачу с настройкой логирования удаления файлов с сетевых файловых ресурсов на dc1.
2.1 Зайдём в настройки папки share.![]
2.2 Security -> Advanced.
2.3 Зайдём во вкладку Аудит и нажмём Add, чтобы добавить правило аудита.
2.4 Выберем Principal -- это объект, действия которого нужно логировать. Отметим группу Domain Users.
2.5 Выставим type=all, чтобы мониторить как успех, так и отказ. Нажмём кнопку show advanced permissions.
2.6 Отметим галочкой оба пункта Delete и нажмём ОК.
2.7 Правило создано для папки share, а так же всех её вложенных папок и файлов.
2.8 Создадим в папке all_share папку folder-for-delete для тестирования генерации событий.
2.9 На pc1 от имени пользователя Olga попробуем удалить папку folder-for-delete из папки all_share.
2.10 Проверим журнал безопасности dc1.
2.11 Событий много, отфильтруем их. Зайдём в меню filter current log и введём интересующие нас id событий (4656, 4659, 4660, 4663) в поле фильтра.
2.12 Увидим много подряд идущих собыитй, из которых 3 явно нас интересуют.
### Часть 3. Инфраструктура отправки журналов Windows в SIEM
3.1 Включим сервис сборщика логов и подтвердим его автостарт.
3.2 Настроим политику отправки журналов на logcollector. Зайдём в редактор групповой политики и создадим новую, log_delivery.
3.3 Найдём пункт включения службы WinRM.
3.4 Включим службу.
3.5 Найдём пункт настройки менеджера подписок.
3.6 Активируем его.
3.7 Настроим путь до логколлектора.
3.8 Сохраним и закроем меню редактирование политики. Применим фильтр безопасности, чтобы политика применилась только к pc1.
3.9 По умолчанию поиск не происходит среди компьютеров. Изменим это, выберем типы объектов для поиска (компьютеры).
3.10 И проведем поиск по имени pc1 (введем имя и нажмём check names)
3.11 После -- удалим группу аутентифицированных пользователей.
3.12 Найдём меню создания правил брандмауэра и создадим новое правило inbound.
3.13 Выберем преднастроенное правило для WinRM.
3.14 Создадим это правило только для доменной и частной сети.
3.15 Разрешим подключение.
После применения порт на PC1 откроется и позволит выполнять WinRM команды, с помощью которых собираются логи с windows машин.
Теперь донастроим политику так, чтобы у учетной записи сборщика были права на доступ к журналам, которые мы собираем в коллектор.
3.16 Для настройки политики понадобится дескриптор безопасности журнала. Найдём его на pc1.
3.17 Настроим доступ УЗ до журнала security. 
3.18 Активируем политику и введём параметр channelAccess.
3.19 И отдельно добавим учетную запись, которую в дальнейшем будем использовать для чтения журналов, в группу читателей журнала. Зайдём в политику локальных групп и добавим правило для локальной группы.
3.20 Локальная группа -- читатели журнала событий.
3.21 Пользователи -- администраторы домена (в реальной ситуации нужно добавлять пользователя, созданного для чтения журнала событий).
3.22 Вот так по итогу, применяем-сохраняем. 
3.23 Применим на домен.
3.24 Настроим приём логов на коллекторе. Пройдя в event viewer, зайдём в меню подписок.
3.25 Создадим новую подписку.
3.27 Назовём её collector-get и отметим ПК, с которых коллектор будет собирать логи (select computers).
3.28 Выберем доменные компьютеры. Выберем PC1.
3.29 Нажмём кнопку Test чтобы проверить сетевую связность (Но перед этим пришлось ввести команду на PC1, чтобы включить WinRM).
3.30 Зайдём в меню select events и выберем нужные журналы.
3.31 Зайдём в меню Advanced, укажем для сбора УЗ администратора.
3.32 Подтвердим настройки, увидим созданую подписку. Проверим, нет ли ошибок. Нам нужно меню Runtime Status.
3.33 Увидим отсутствие ошибок.
3.34 Дадим доступ сетевой службе до чтения журнала безопасности, выполним команду на pc1
3.35 После чего увидим логи в журнале forwarded events.

### Часть 4. Настройка сборщика логов при компьютерах-инициаторах
4.1 На сервере-коллекторе выполнить команду winrm qc, wecutil qc
4.2 На источниках событий следует включить службу WinRM. Была уже включена в предыдущей части.
4.3 Создим подписку, где инициатором будут компьютеры.