---
# System prepended metadata

title: Занятие 5. Обмен данными в домене и средства мониторинга Windows

---

# Занятие 5. Обмен данными в домене и средства мониторинга Windows
## Модуль: OS Windows & AD basic
#### Выполнил: Галлямов Азат
_ _ _   

## Практическая работа №5.1 Обмен данными в домене.

В данном задании мы настроили инстанс обмена данными.

1. Установили роль DFS на dc01. Добавили роли DFS Namespases и DFS Replication. Также выполнили аналогичную установку на dc02. ![](https://i.imgur.com/kVEOPUu.png) _Рис.1 Добавили роли DFS Namespases и DFS Replication для dc01_ ![](https://i.imgur.com/xyFFcdh.png) _Рис.2 Добавили роли DFS Namespases и DFS Replication для dc02_


2. Зашли в управление DFS и создали новый namespace. В качестве сервера, являющимся сервером имён для DFS - dc01. ![](https://i.imgur.com/A9dUJWF.png) _Рис.3 Создали новый namespace_ 

3. Настроили кастомные права, указав возможность чтения и записи для всех пользователей. Завершили настройку. ![](https://i.imgur.com/gqjA6KB.png) _Рис.4 Настроили права_ ![](https://i.imgur.com/8OW7e8k.png) _Рис.5 Успех_

4. Создадили папку share и папки отделов внутри, + папку all_share. Каждую эту папку сделали сетевой. Пример показан на примере папки  VIP. Активировали галочку шаринга, а в конце имени сетевой папки поставили знак $. Далее перешли в параметры  permissions и выставили права на чтение и запись для VIP-sec и domain admins.  ![](https://i.imgur.com/rZOZ6pq.png) _Рис.6 Создали папки отделов_ ![](https://i.imgur.com/C23c7Dj.png) _Рис.7 Активировали галочку шаринга_ ![](https://i.imgur.com/tPp7ZDe.png) _Рис.8 Выставили права на чтение и запись для VIP-sec и domain admins_

5.  Аналогичные действия повторили для остальных папок.

6. После создания папок они отобразились в сетевом пути до dc01. Создадим папки в DFS, указали имя папки. Добавили в target путь до расшаренной папки. ![](https://i.imgur.com/Phe6UWQ.png) _Рис.9 Создание папки в DFS_ 

7. По сетевому пути видны сетевые папки. ![](https://i.imgur.com/TYQvXl4.png) _Рис.10 Сетевые папки_

8. Изменили права security у папки VIP, добавили группу VIP-sec и дали права в том числе на modify. Повторили данные действия для всех папок. ![](https://i.imgur.com/bGR9rPw.png) _Рис.11 Изменили права security у папки VIP_


## Практическая работа №5.2 Средства мониторинга Windows.

В данной работе мы выполнили следующее:
- настроили файловый ресурс с целью журналирования событий удаления объектов
- настроили отправку журналов с помощью инструментария windows в соответствии с методическими материалами
- настроили сборщик журналов

1. Зашли в настройки папки share. Во вкладке аудит добавили правило аудита. Ранее мы настроили политику, позволяющую логировать операции с файлами. Но по умолчанию все папки и файлы не будут подвержены аудиту, поэтому нужно настроить правила вручную. Отметили группу Domain Users. Выставили type=all, чтобы мониторить как успех, так и отказ. Нажали кнопку show advanced permissions. Отметили галочкой оба пункта Delete. ![](https://i.imgur.com/tfcbBbF.png) _Рис.1 Зашли во вкладку аудит_ ![](https://i.imgur.com/3ofRx8w.png) _Рис.2 Отметили группу Domain Users_ ![](https://i.imgur.com/P7VU8z2.png) _Рис.3 Отметили галочкой оба пункта Delete_ ![](https://i.imgur.com/qX9erk2.png) _Рис.4 Добавили аудит_

2. На pc01 от имени пользователя Igor удалили папку folder-for-delete из папки all_share. ![](https://i.imgur.com/ed3rCaP.png) _Рис.5 Удалили папку folder-for-delete_

3. Проверили журнал безопасности на dc01. Отфильтровали по определённым событиям : 4656, 4659, 4660, 4663. По итогу мы увидели много подряд идущих событий, из которых 3 явно нас интересуют. ![](https://i.imgur.com/816tpAJ.png) _Рис.6 Отфильтрованные события_ ![](https://i.imgur.com/54TxTGc.png) _Рис.7 Событие 4656_ ![](https://i.imgur.com/FpX81G1.png) _Рис.8 Событие 4663_  ![](https://i.imgur.com/28ucD67.png) _Рис.9 Событие 4660_ 


### Инфраструктура отправки журналов Windows в SIEM

1. Включили сервис сборщика логов и подтвердили его автостарт. Настроили политику отправки журналов на logcollector. Зашли в редактор групповой политики и создали новую, log_delivery. В подписке включим службу WinRM.  ![](https://i.imgur.com/hSDLHw6.png) _Рис.10 Включили сервис сборщика логов_ ![](https://i.imgur.com/tUogwPh.png) _Рис.11 Редактирование подписки log_delivery_

2. Перешли в пункт настройки менеджера подписок. Активировали его и прописали путь до коллектора: ```Server=http://dc1.pt.local:5985/wsman/SubscriptionManager/WEC,Refresh=6```. Применили фильтр безопасности, чтобы политика применилась только к pc01.  ![](https://i.imgur.com/bA1tpNZ.png) _Рис.12 Прописали путь до коллектора_ ![](https://i.imgur.com/i7MOn0R.png) _Рис.13 Политика применилась только к pc01_

3. Зашли в меню создания правил брандмауэра и создали новое правило inbound. Выбрали преднастроенное правило для WinRM. Настроили это правило только для доменной и частной сети. Разрешили подключение. ![](https://i.imgur.com/fUOwrYM.png) _Рис.14 Зашли в меню создания правил брандмауэра_ ![](https://i.imgur.com/uLuABEp.png) _Рис.15 Разрешили подключение._

4. Для настройки политики нам понадобился дескриптор безопасности журнала. Нашли его на pc01 при помощи команды: ```wevtutil gl security```. ![](https://i.imgur.com/RFiZNhP.png) _Рис.16 Дескриптор безопасности журнала на pc01_

5. Далее настроили доступ УЗ до журнала security. Активировали политику и ввели параметр channelAccess. ![](https://i.imgur.com/uy5lWPp.png) _Рис.17 Ввели параметр channelAccess_

6. Отдельно добавили учетную запись, которую в дальнейшем будем использовать для чтения журналов, в группу читателей журнала. Зашли в политику локальных групп и добавили правило для локальной группы. Локальная группа -- читатели журнала событий. Пользователи -- администраторы домена. ![](https://i.imgur.com/5l4zius.png) _Рис.18 Добавили правило для локальной группы_ ![](https://i.imgur.com/i86LBIq.png) _Рис.19 Пользователи -- администраторы домена_

7. Применили политику на домен. ![](https://i.imgur.com/IHthBYm.png) _Рис.20 Применили политику_

8. Настроили приём логов на коллекторе. Создали новую подписку. Источниками будут доменные компьютеры - pc01. Проверили сетевую связность. Подтвердили настройки, увидели созданую подписку. ![](https://i.imgur.com/1YVdYIT.png) _Рис.21 Источниками будут доменные компьютеры - pc01_ ![](https://i.imgur.com/Y0qR7ak.png) _Рис.22 Проверка_ ![](https://i.imgur.com/9xOSnPw.png) _Рис.23 Настройка журналов_ ![](https://i.imgur.com/MD84aT6.png) _Рис.24 Проверка статуса источника_

9. Дали доступ сетевой службе до чтения журнала безопасности, выполнили команду на pc01, команда: ```wevtutil set-log security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)```. ![](https://i.imgur.com/3LgMYat.png) _Рис.25 Дали доступ сетевой службе_


10. После всего увидели логи хоста pc01 в журнале forwarded events. ![](https://i.imgur.com/UEORVEe.png) _Рис.26 Успешный поток логов_

### Часть 4. Настройка сборщика логов при компьютерах-инициаторах

1. На сервере-коллекторе выполнили команду winrm qc, ответили согласием на оба последующих вопроса (включение службы WinRM и прослушивание порта TCP:5985 для входящих соединений от источников). ![](https://i.imgur.com/ClLTs65.png) _Рис.27 Выполнили команду winrm qc_

2. На сервере-коллекторе выполнили команду wecutil qc, согласились на включение службы сборщика событий Windows. ![](https://i.imgur.com/VjnM89O.png) _Рис.28 Выполнили команду wecutil qc_

3. На источниках событий включили службу WinRM (реализовано политикой ранее).

4. Создали подписку, где инициатором являются компьютеры. ![](https://i.imgur.com/Jkhh1gU.png) _Рис.29 Создали подписку_ ![](https://i.imgur.com/vlz8ZHx.png) _Рис.30 Проверили статус источников_









