---
# System prepended metadata

title: Занятие 5. Обмен данными в домене и средства мониторинга Windows

---

# Занятие 5. Обмен данными в домене и средства мониторинга Windows
# Практическая работа №5.1 Обмен данными в домене.
# Задание:

1) Настроить инстанс обмена данными
___
## Часть 1. Настройка инстанса обмена данными.
Установим роль DFS на dc1. Перейдём в установку ролей и компонентов
![](https://i.imgur.com/tby2AXz.png)

Отметим роли DFS Namespases и DFS Replication

![](https://i.imgur.com/HcrG7zL.png)

Установим роли
![](https://i.imgur.com/6FWDFf7.png)


Зайдём в управление DFS на dc1, создадим новый namespace и укажем сервер, являющийся сервером имён для DFS - dc1

![](https://i.imgur.com/ETFBqu7.png)

 Укажем имя создаваемого пространства и перейдём в edit settings
 ![](https://i.imgur.com/OOCK2tf.png)
Настроим кастомные права, указав возможность чтения и записи для всех пользователей
![](https://i.imgur.com/gmq54Sz.png)
![](https://i.imgur.com/dTLbE6D.png)

Оставим настройки по умолчанию (domain namespase)
![](https://i.imgur.com/bpGogdw.png)
Создадим пространство имён
![](https://i.imgur.com/EtI4nPh.png)
Видим, что всё прошло успешно
![](https://i.imgur.com/TZ9igcb.png)
Создадим папку share, внутри которой создадим папки отделов + папку all_share
![](https://i.imgur.com/usyBj2B.png)
Сделаем каждую папку сетевой .
Выставляем права на чтение и запись для buhg-sec (права -- change, read) и domain admins (права -- full control), а группу everyone удаляем
![](https://i.imgur.com/9Z9y4pN.png)
Выставляем права на чтение и запись для HR-sec (права – change, read) и domain admins (права – full control), а группу everyone удаляем
![](https://i.imgur.com/A221Qyu.png)

Выставляем права на чтение и запись для Progr-sec (права – change, read) и domain admins (права – full control), а группу everyone удаляем
![](https://i.imgur.com/qbT0p3D.png)

Выставляем права на чтение и запись для Sysadmins-sec (права – change, read) и domain admins (права – full control), а группу everyone удаляем
![](https://i.imgur.com/1ovq64Q.png)

Выставляем права на чтение и запись для VIP-sec (права – change, read) и domain admins (права – full control), а группу everyone удаляем
![](https://i.imgur.com/ilM3FTc.png)

Для all_share выдадим доступ на read, write для группы everyone

![](https://i.imgur.com/yBCErUV.png)
Теперь создадим папки в DFS. В меню DFS нажмём кнопку "new folder"
![](https://i.imgur.com/kMEI3PS.png)
Теперь по сетевому пути  видны сетевые папки
![](https://i.imgur.com/Uuambuy.png)

Изменим права security у папки Buhg. Добавим группу Buhg-sec с правами на midify
![](https://i.imgur.com/Ov4S2E3.png)

Изменим права security у папки Progr. Добавим группу Progr-sec с правами на midify
![](https://i.imgur.com/LLPpu1G.png)
Изменим права security у папки HR. Добавим группу HR-sec с правами на midify
![](https://i.imgur.com/8NLTVLW.png)
Изменим права security у папки Sysadmins. Добавим группу Sysadmins-sec с правами на midify
![](https://i.imgur.com/zZlXLbI.png)
Изменим права security у папки VIP. Добавим группу VIP-sec с правами на midify
![](https://i.imgur.com/gTDBaRb.png)
Изменим права security у папки all_share. Добавим группу Everyone с правами на midify
![](https://i.imgur.com/0OM3dSG.png)


# Самостоятельное задание
Проделаем аналогичные действия для dc2.
Установим роль DFS на dc2. Перейдём в установку ролей и компонентов
![](https://i.imgur.com/QY1XFIX.png)
Установим роли
![](https://i.imgur.com/5ccuEDj.png)
![](https://i.imgur.com/pM8y5LG.png)
![](https://i.imgur.com/PT3OkzN.png)
Далее создаем папку share
![](https://i.imgur.com/V25jIwV.png)
И в папке share создаем папки,аналогичные dc1 и настраиваем их также по аналогии с dc1 
![](https://i.imgur.com/CG5lTZ1.png)
После создаем для каждой существующей на dc1 dfs папки резервирование с указанием сетевого пути до аналогичной папки dc2
Сделаем на примере папки HR. Для этого нажмем ПКМ по папке, выберем "Replicate Folder" и начнем настройку
![](https://i.imgur.com/PL9Q5MC.png)
![](https://i.imgur.com/2pp36zp.png)
![](https://i.imgur.com/6dLCaob.png)
![](https://i.imgur.com/Y4TVR0n.png)
![](https://i.imgur.com/p7YpBeP.png)
Видим,что ошибок нет
![](https://i.imgur.com/iXQICbC.png)
И видим, как выглядит репликация на примере папок HR и Buhg 
![](https://i.imgur.com/XmWbOXJ.png)

____

# Практическая работа №5.2 Средства мониторинга Windows.
# Задание:

1) Настроить файловый ресурс с целью журналирования событий удаления объектов

2) Настроить отправку журналов с помощью инструментария windows в соответствии с методическими материалами

3) Настроить сборщик журналов
___
# Часть 2. Управление средствами мониторинга Windows
Зайдём в настройки папки share,Security -> Advanced,во вкладку Аудит и нажмём Add
![](https://i.imgur.com/nWfrLCV.png)

![](https://i.imgur.com/owF3xsx.png)

![](https://i.imgur.com/rtbVahr.png)

Настроим папку share для логирования удаления 
![](https://i.imgur.com/q8tERlU.png)
Создано правило для папки share 
 ![](https://i.imgur.com/mbhwKvA.png)
Заранее создаем в папке all_share папку folder-for-delete,которую будем удалять 
Зайдем на пк1 под учетной записью Ольги и удалим папку 
![](https://i.imgur.com/sRm11Yt.png)
На dc1 откроем журнал безопасности 
![](https://i.imgur.com/GJlXxfj.png)
Зайдём в меню filter current log и введём  id событий 4656, 4659, 4660, 4663
![](https://i.imgur.com/tRgQ4u4.png)
Увидим,что есть событие удаления 
![](https://i.imgur.com/20amFOu.png)

# Часть 3. Инфраструктура отправки журналов Windows в SIEM
Включим сервис сборщика логов и подтвердим его автостарт
![](https://i.imgur.com/Hxa3G0O.png)
В редакторе групповой политики и создадим log_delivery
![](https://i.imgur.com/TkiP2fS.png)
Найдём пункт включения службы WinRM
![](https://i.imgur.com/wbwFcim.png)
Включим службу
![](https://i.imgur.com/acj8mpd.png)
Найдём пункт настройки менеджера подписок
![](https://i.imgur.com/1AO33YP.png)
Активируем его
![](https://i.imgur.com/V8piiWg.png)
Настроим путь до логколлектора
![](https://i.imgur.com/g8Id3oV.png)
Добавим пк1 и удалим группу аутентифицированных пользователей
![](https://i.imgur.com/0Md5EBO.png)
 Найдём меню создания правил брандмауэра и создадим новое правило inbound
 ![](https://i.imgur.com/2Ec3R5W.png)
Выберем преднастроенное правило для WinRM
![](https://i.imgur.com/PgRWjr2.png)
Создадим это правило только для доменной и частной сети
![](https://i.imgur.com/94nJGdP.png)
Разрешим подключение
![](https://i.imgur.com/u4GpoT7.png)
Видим правило
![](https://i.imgur.com/r4rd7F1.png)
Найдём на pc1 дескриптор безопасности журнала
![](https://i.imgur.com/PN8uydL.png)
Настроим доступ УЗ до журнала security
![](https://i.imgur.com/92NAq27.png)
Активируем политику и введём параметр channelAccess
![](https://i.imgur.com/aoft4a8.png)
И отдельно добавим учетную запись, которую в дальнейшем будем использовать для чтения журналов, в группу читателей журнала. Зайдём в политику локальных групп и добавим правило для локальной группы
![](https://i.imgur.com/8JkrEDk.png)
Локальная группа -- читатели журнала событий.
Пользователи -- администраторы домена
![](https://i.imgur.com/5Tlrfn4.png)
Итог
![](https://i.imgur.com/8vBwKaB.png)
Применим на домен
![](https://i.imgur.com/v2fd14U.png)
![](https://i.imgur.com/cmiqleD.png)
Настроим приём логов на коллекторе
![](https://i.imgur.com/ZnNMtjt.png)
![](https://i.imgur.com/42FSvEo.png)
Нажмём кнопку Test чтобы проверить сетевую связность
![](https://i.imgur.com/ZkmfWth.png)

Зайдём в меню select events и выберем нужные журналы
![](https://i.imgur.com/KT0QfwH.png)
Зайдём в меню Advanced, укажем для сбора УЗ администратора
![](https://i.imgur.com/I36LNpo.png)
Подтвердим настройки, увидим созданую подписку. Проверим, нет ли ошибок. Нам нужно меню Runtime Status
![](https://i.imgur.com/ms1f83s.png)
Ошибок нет 

Дадим доступ сетевой службе до чтения журнала безопасности, выполним команду на pc1
![](https://i.imgur.com/1SlKBk0.png)
 Видим логи
 ![](https://i.imgur.com/hAi2a2I.png)
На сервере-коллекторе выполним команды winrm qc и wecutil qc

![](https://i.imgur.com/03r2J0n.png)

Включим  службу WinRM
![](https://i.imgur.com/07oStJe.png)
# Часть 4.Настройка сборщика логов при компьютерах-инициаторах
Создадим новую подписку аналогично предыдущей
![](https://i.imgur.com/jemI9ys.png)
![](https://i.imgur.com/kpWXUFU.png)
![](https://i.imgur.com/Vwuf3fK.png)
![](https://i.imgur.com/LYnOt8o.png)
Видим,что все прошло успешно
![](https://i.imgur.com/omgTNlC.png)
Сборщик запущен
![](https://i.imgur.com/HCABCcQ.png)
Видим логи
![](https://i.imgur.com/I5NROf9.png)







