مختبر اكتشاف وتخفيف PrintNightmare

دراسة حالة أكاديمية منقّحة توضح كيفية تصميم ومراقبة وتحصين مختبر نطاق Windows أثناء التحقيق في CVE-2021-34527 (PrintNightmare) في بيئة افتراضية خاضعة للتحكم.

ملاحظة أمان: يركز هذا المستودع على إدارة الأنظمة والمراقبة الدفاعية وتحليل الأدلة واختبار التخفيف. وهو يستبعد عمدًا أكواد الاستغلال التشغيلية والحمولات وبيانات الاعتماد والتقاطات الحزم الخام وصور الأجهزة الافتراضية والتسليم الجامعي الأصلي.

نظرة عامة على المشروع

اتبع المشروع ثلاث مراحل أكاديمية: اقتراح الثغرة، وتصميم الاكتشاف والتخفيف، والتنفيذ مع عرض توضيحي حي. أعاد المختبر النهائي إنتاج الثغرة في شبكة معزولة، وربط التليمترية المضيفة والشبكية، واختبر عدة ضوابط، ووثّق عمليات التخفيف الناجحة وغير الناجحة على حد سواء.

البيئة

• Windows Server 2019 وحدة تحكم بالنطاق
• Windows 10 نقطة نهاية اختبار منضمة إلى النطاق
• Kali Linux محطة عمل للتحليل والاختبار الخاضع للتحكم
• Active Directory Domain Services، وDNS، ووحدات تنظيمية، ومستخدمون، ومجموعات أمان
• شبكة VirtualBox NAT معزولة

المراقبة والتحليل

• عارض أحداث Windows: سجلات PrintService وSecurity وSystem
• جمع أحداث Sysmon
• Process Monitor وPrint Management
• تحليل الحزم باستخدام Wireshark وTShark
• مراقبة مركزية قائمة على Splunk في التصميم الأوسع للمشروع
• تعداد الخدمات القائم على Nmap في المختبر المعزول

الإدارة والتخفيف

• تكوين نهج المجموعة وتحديث النهج القسري
• ضوابط Windows Firewall لتعرض RPC وSMB
• تغييرات التحكم في الوصول عبر PowerShell على أدلة Print Spooler الحساسة
• قيود على Print Spooler والطباعة عن بُعد الواردة
• مفاهيم أتمتة Bash لتنفيذ المختبر وتنظيفه بشكل قابل للتكرار

البنية

فصلت البنية المعزولة محطة عمل الاختبار عن وحدة تحكم النطاق ونقطة النهاية المنضمة إلى النطاق، مع السماح للفريق بمراقبة المصادقة واتصالات SMB/RPC ونشاط الخدمة وتغييرات نقطة النهاية.

نتائج الاكتشاف

ربط التحقيق عدة مصادر أدلة بدلاً من الاعتماد على منتج أمني واحد:

انظر تحليل الاكتشاف وقائمة الفحص الدفاعي بـ TShark.

نتائج التخفيف

كان الاستنتاج الرئيسي هو أن الضوابط المتعددة الطبقات يجب اختيارها وفقًا لمتطلبات العمل. فقد يكون الضابط الفعال تقنيًا غير مناسب إذا كان يعطل خدمة مطلوبة.

انظر نتائج التخفيف.

تركيز مساهمتي الموثقة

أُنجز هذا المشروع كمشروع جامعي لفردين. ركّزت مساهمتي الموثقة على:

• التحقق اليدوي وتوثيق سير عمل الاختبار الخاضع للتحكم؛
• تطوير أتمتة Bash لجعل العرض التوضيحي قابلاً للتكرار؛
• إعداد توثيق تقني تفصيلي خطوة بخطوة ولقطات شاشة؛
• شرح مرحلتي الاستغلال والاكتشاف أثناء العرض التوضيحي؛ و
• تحليل أدلة المضيف والشبكة باستخدام أدوات مراقبة Windows وWireshark/TShark.

المهارات المُثبتة

• إدارة Windows Server وActive Directory
• تكوين نقاط نهاية Windows واستكشاف أخطائها وإصلاحها
• أساسيات DNS وTCP/IP وSMB وRPC
• إدارة نهج المجموعة وWindows Firewall
• تسجيل الأمان وربط الأحداث وتحليل الحوادث
• تحليل الحزم باستخدام Wireshark/TShark
• Sysmon وProcess Monitor
• مفاهيم أتمتة PowerShell وBash
• تقييم الثغرات والتحقق من الضوابط
• التوثيق الفني والعروض التقديمية

محتويات المستودع

.
├── README.md
├── NOTICE.md
├── assets/
│   └── lab-architecture.svg
├── data/
│   ├── detection-indicators.csv
│   └── mitigation-results.csv
├── docs/
│   ├── architecture-and-administration.md
│   ├── detection-analysis.md
│   ├── mitigation-results.md
│   ├── project-lifecycle.md
│   └── lessons-learned.md
├── queries/
│   ├── tshark-defensive-checklist.md
│   └── windows-event-checklist.md
└── scripts/
    ├── README.md
    └── cleanup_lab_artifacts.sh

نطاق المحفظة

المستودع هو دراسة حالة موجزة وليس نسخة من التقييم. بيانات PCAP الخام وتسجيلات العروض التوضيحية وبيانات اعتماد المختبر المبرمجة وأوامر توليد الحمولات وأكواد استغلال الأطراف الثالثة والكتب المرجعية المحمية بحقوق النشر والتقارير الأصلية وصور الأجهزة الافتراضية مستبعدة عمدًا.