Bereinigtes Windows-Sicherheitslabor, das Active-Directory-Verwaltung, Host- und Netzwerkerkennung sowie mehrschichtige Eindämmung von CVE-2021-34527 demonstriert.
Eine bereinigte akademische Fallstudie, die zeigt, wie ein Windows-Domain-Labor entworfen, überwacht und abgehärtet wurde, während in einer kontrollierten virtuellen Umgebung CVE-2021-34527 (PrintNightmare) untersucht wurde.
Sicherheitshinweis: Dieses Repository konzentriert sich auf Systemadministration, defensive Überwachung, Beweisanalyse und Tests von Abschwächungsmaßnahmen. Es enthält bewusst keinen ausführbaren Exploit-Code, keine Payloads, keine Zugangsdaten, keine rohen Paketmitschnitte, keine Virtual-Machine-Images und nicht die ursprüngliche Universitätsabgabe.
Das Projekt durchlief drei akademische Phasen: Vulnerabilitätsvorschlag, Entwurf von Erkennung und Abschwächung sowie Implementierung mit einer Live-Demonstration. Das endgültige Labor reproduzierte die Schwachstelle in einem isolierten Netzwerk, korrelierte Host- und Netzwerktelemetrie, testete mehrere Kontrollen und dokumentierte sowohl erfolgreiche als auch erfolglose Abschwächungsmaßnahmen.
Die isolierte Topologie trennte die Testarbeitsstation vom Domänencontroller und dem domänengebundenen Endpunkt, während das Team Authentifizierung, SMB/RPC-Kommunikation, Dienstaktivität und Endpunktänderungen beobachten konnte.
Die Untersuchung korrelierte mehrere Beweisquellen, statt sich auf ein einziges Sicherheitsprodukt zu verlassen:
Siehe Erkennungsanalyse und die Defensive TShark-Checkliste.
Die wichtigste Schlussfolgerung war, dass mehrschichtige Kontrollen entsprechend den geschäftlichen Anforderungen ausgewählt werden müssen. Eine technisch wirksame Kontrolle kann dennoch ungeeignet sein, wenn sie einen erforderlichen Dienst beeinträchtigt.
Siehe Ergebnisse der Abschwächung.
Dies wurde als Universitätsprojekt zu zweit abgeschlossen. Mein dokumentierter Beitrag konzentrierte sich auf:
.
├── README.md
├── NOTICE.md
├── assets/
│ └── lab-architecture.svg
├── data/
│ ├── detection-indicators.csv
│ └── mitigation-results.csv
├── docs/
│ ├── architecture-and-administration.md
│ ├── detection-analysis.md
│ ├── mitigation-results.md
│ ├── project-lifecycle.md
│ └── lessons-learned.md
├── queries/
│ ├── tshark-defensive-checklist.md
│ └── windows-event-checklist.md
└── scripts/
├── README.md
└── cleanup_lab_artifacts.sh
Das Repository ist eine kompakte Fallstudie und keine Kopie der Prüfungsabgabe. Rohe PCAP-Daten, Demonstrationsaufzeichnungen, hartcodierte Labor-Zugangsdaten, Payload-Erzeugungsbefehle, Exploit-Code von Drittanbietern, urheberrechtlich geschützte Referenzbücher, Originalberichte und VM-Images sind bewusst ausgeschlossen.
| Quelle | Geprüfte Beweise | Defensiver Wert |
|---|
| PrintService-Protokoll | Ereignis-ID 316 und Druckertreiberaktivität | Identifizierte verdächtige Treiberinstallation und zugehörige Dateien |
| Sysmon | Ereignis-IDs 7, 11 und 13 | Verfolgte Imageladungen, Dateierstellung und Registry-Änderungen |
| Sicherheitsprotokoll | Ereignis-IDs 4624, 4720, 4722, 4724, 4732 und 4738 | Zeigte Anmeldungen sowie Konto- oder Gruppenänderungen im Zusammenhang mit Privilegien- und Persistenzaktivitäten |
| Systemprotokoll | Ereignis-ID 7031 | Kennzeichnete unerwartete Beendigung des Print Spoolers |
| Wireshark/TShark | TCP-Endpunkte, Konversationen, NTLM, SMB2 und übertragene Objekte | Verband Host-Ereignisse mit Netzwerkkommunikation und Dateiübertragungsbeweisen |
| Process Monitor | Prozess-, Datei- und Registry-Aktivität | Unterstützte die Rekonstruktion der Aktivitätsabfolge |
| Getestete Kontrolle | Ergebnis | Betriebliche Überlegung |
|---|
| Eingehenden Remote-Druck deaktivieren | Verhinderte den Remote-Angriffspfad | Die Funktion des Remote-Druckservers war betroffen |
| Schreibzugriff auf das Treiberverzeichnis verweigern | Blockierte unbefugte Dateiablage | Könnte legitime Druckwarteschlangen- oder Treiberänderungen verhindern |
| RPC/SMB-Ports in der Firewall blockieren | Verhinderte die für den Test erforderliche Remote-Kommunikation | Könnte Dienste unterbrechen, die von diesen Ports abhängen |
| Print Spooler per Gruppenrichtlinie deaktivieren | Entfernte den angreifbaren Dienstpfad | Deaktivierte lokales und Remote-Drucken |
| Point and Print einschränken / signierte Treiber verlangen | Stoppte den getesteten Pfad in diesem Labor nicht | Zeigte, dass man sich nicht auf eine einzelne Kontrolle verlassen sollte |