---
# System prepended metadata

title: Практическая работа №4 ААА в Windows

---

---
title: 'Практическая работа №4 ААА в Windows'
disqus: xthr0
---

Практическая работа №4.
===

[TOC]

## Практическая работа №4.1 DNS.

### 4.1.1 Настройка DNS

1. Зайдем в настройки DNS 
2. Откроем свойства нашего сервера

![](https://i.imgur.com/vZHYTtV.png)

3. Переход во вкладку сервера пересылки -> кнопка изменить

![](https://i.imgur.com/DxJvtTZ.png)

4. Затем вписываем в поле наш адрес Mikrotik и видим успешное подключение в виде галочки

![](https://i.imgur.com/7SnhdBT.png)

### 4.1.2 Настройка зоны обратного просмотра

1. ПКМ по "Зоны обратного просмотра" -> Создать новую зону

![](https://i.imgur.com/5srZAhf.png)

2. Нажимаем "далее" пока не появится окошко для ввода адреса -> вводим наш адрес без последнего октета

![](https://i.imgur.com/8k8BkTh.png)

3. Так же оставляем всё по умолчанию и нажимаем "далее"

4. Зона обратного просмотра добавилась

![](https://i.imgur.com/KpYvW39.png)
## Практическая работа №4.2,3 DHCP.

### 4.2 DHCP

1. Откроем меню DHCP -> Развернем и ПКМ по IPv4 -> Создать область

![](https://i.imgur.com/kT3Uk1e.png)

2. Приступаем к созданию области и задаём имя

![](https://i.imgur.com/4BPhfJu.png)

3. Указываем диапазон выдаваемых адресов

![](https://i.imgur.com/5f6otAT.png)

4. Пропускаем "добавление исключений и задержка"

![](https://i.imgur.com/L6uLQdh.png)

5. Задаем время аренды по умолчанию - 8 дней

![](https://i.imgur.com/ndXARkh.png)

6. Сконфигурируем область сейчас

![](https://i.imgur.com/h9hB5iZ.png)

7. Введём адрес роутера и нажмём "Добавить"

![](https://i.imgur.com/ZAFBZtf.png)

8. Введём адрес резервного контроллера домена, он же будет резервным DNS - 192.168.10.201 (второй WinServer должен быть включен)

![](https://i.imgur.com/EgmxeNE.png)

9. Настройку WINS-сервера пропускаем

![](https://i.imgur.com/ovadHxd.png)

10. Активируем область сейчас

![](https://i.imgur.com/1S5Uv1q.png)

11. Завершаем работу мастера 

![](https://i.imgur.com/KFAYwq2.png)

12. Настраиваем Win10 на автоматическое получение параметров сети по DHCP и смотрим на результат

![](https://i.imgur.com/EQHhJEJ.png)
### 4.3 Отказоустойчивый DHCP

1. ПКМ по области -> Настройка области отказа

![](https://i.imgur.com/IypZ6Dr.png)

2. Далее и выбираем сервер-партнёр -> Добавить сервер 

![](https://i.imgur.com/6vNowKs.png)

3. Настройка отношения обработки заказа -> выбираем режим "Горячая замена" и снимаем галочку с проверки

![](https://i.imgur.com/Gy9FDcm.png)

4. Подтверждаем настройки

![](https://i.imgur.com/cxq09f0.png)

5. У нас всё успешно

![](https://i.imgur.com/8p1ftnP.png)

6. Проверяем работу области DHCP на втором сервере

![](https://i.imgur.com/uxJn7nP.png)

7. Все настройки применились корректно

![](https://i.imgur.com/06d74BS.png)
## Практическая работа №4.4 GPO (Настройка групповых политик).
С помощью групповых политик решим следующие задачи:

- Включим возможность логирования сетевых файловых ресурсов
- Настроим набор политик для защиты от mimikatz
- Применим политики для генерации событий, необходимых SIEM

### 4.4.1 Политика аудита
1. Зайдем управление групповой политикой

![](https://i.imgur.com/0RCclAz.png)

2. Развернём вложенные меню, увидимо две базовые политики в папке "Объекты групповой политики" и ссылки на них

3. Отредактируем политику контроллеров домена

![](https://i.imgur.com/k3lFDMe.png)

4. Настроим политику комьютера "Доступ к объектам"

![](https://i.imgur.com/TDYlfzX.png)

5. Включим аудит общего файлового ресурса

![](https://i.imgur.com/p5GCZZQ.png)

6. Включим аудит файловой системы

![](https://i.imgur.com/jpxdnox.png)

7. В итоге у нас должно получиться вот так

![](https://i.imgur.com/9b1yfKH.png)

8. Пункты выше надо повторить и на втором сервере

### 4.4.2 Политика защиты от mimikatz
1. Создадим новую политику в папке "Объекты групповой политики"

![](https://i.imgur.com/P8TI2oJ.png)

2. Назовём её mimilatz_block_debug

![](https://i.imgur.com/vZ4j28g.png)

3. Перейдём в настройки политики

![](https://i.imgur.com/wBGgXJV.png)

4. Найдём политику "Отладка программы"

![](https://i.imgur.com/O1lPk5L.png)

5. Настроим политику так, чтобы только у администратора и ADMPetr были права отладки

![](https://i.imgur.com/mNQVpcE.png)

6. Применим политику к домену, чтобы она сработала на всех ПК домена

![](https://i.imgur.com/YMv88fj.png)

![](https://i.imgur.com/W7NioHX.png)

7. Проверяем на защиту от mimikatz на нашей Win10 и видим, что политика работает прекрасно

![](https://i.imgur.com/4Tou06Y.png)

### 4.4.3 Защита LSA от подключения сторонних модулей
1. Добавим в политику mimikatz_block_debug новый параметр реестра

![](https://i.imgur.com/Z0Fz4yT.png)

2. Настроим параметр, активирующий защиту LSA

![](https://i.imgur.com/3DsFSo8.png)
### 4.4.4 Включение аудита командной строки и PowerShell
1. Создадим политику аудита audit_services_cmd_posh

![](https://i.imgur.com/rpeXsOb.png)

2. Перейдём в ветку "Административные шаблоны"/"Система"/"Аудит создания процессов" 

![](https://i.imgur.com/vyFKUnT.png)

3. Активируем параметр "Включить командную строку в события создания процессов"

![](https://i.imgur.com/gbPT2ee.png)

![](https://i.imgur.com/jPVAfgP.png)

4. Перейдём в ветку "Административные шаблоны"/"Компоненты Windows"/"Windows PowerShell"

![](https://i.imgur.com/WBuGkiO.png)

5. Выберем пункт "Включить ведение журнала и модулей"

![](https://i.imgur.com/Oe15k30.png)

6. Применим политику на домен

![](https://i.imgur.com/hqos7rh.png)

![](https://i.imgur.com/HQsDlJL.png)
### 4.4.5 Активация журналирования на контроллерах домена
1. Отредактируем политику контроллеров домена

![](https://i.imgur.com/WXH1iXd.png)

2. Создадим новый объект правки реестра

![](https://i.imgur.com/6AsIbdS.png)

3. Изменим параметр реестра. Этот параметра уже существует, поэтому мы его изменим

![](https://i.imgur.com/jizZORp.png)

4. Изменим значение на 5 (десятичное)

![](https://i.imgur.com/OudXZwm.png)

5. Создадим 2 новых параметра реестра **Expensive Search Results Threshold** и **Inefficient Search Result Threshold**

![](https://i.imgur.com/Jx3I3nU.png)

![](https://i.imgur.com/AE60FSk.png)

6. Настроим параметр для контроллеров домена, разрещающий только определённым пользователям выгружать членов доменных групп

![](https://i.imgur.com/vTHUV8d.png)

7. Дадим доступ на выгрузку для группы пользователей Администраторы и пользователю ADMPetr

![](https://i.imgur.com/xbgTEIr.png)

8. В заключение настроим журналирование попыток выгрузки, добавим ещё один параметр в реестр

![](https://i.imgur.com/kHE7A5M.png)

9. К концу практического получится такая картина

![](https://i.imgur.com/3y2xvU1.png)

---
:::success
**Конец**
:::

