PrintNightmare Threat Detection & Incident Response Lab (CVE-2021-34527)

📌 Resumen

Este proyecto documenta una implementación de extremo a extremo de monitoreo de seguridad, ingeniería de detección y respuesta a incidentes dirigida a PrintNightmare (CVE-2021-34527). PrintNightmare es una vulnerabilidad crítica en el servicio Windows Print Spooler (spoolsv.exe) que permite la ejecución remota de código (RCE) no autenticada y la elevación de privilegios local (LPE) hasta privilegios de SYSTEM.

El objetivo de este laboratorio fue simular telemetría de explotación, capturar registros de auditoría del kernel y del sistema mediante Sysmon y Registros de eventos de seguridad de Windows, ingerir eventos en Splunk Enterprise SIEM, diseñar reglas de detección específicas en Search Processing Language (SPL) y generar un informe formal de Respuesta a Incidentes (IR).

🏗️ Arquitectura del Laboratorio y Entorno

• Atacante: Atomic Red Team Test T1547.012 con una DLL personalizada
• Estación de trabajo víctima: Windows 10 Pro (unida al dominio mydomain.com)
• Controlador de dominio: Windows Server 2019 (dominio Active Directory DC)
• Pipeline de SIEM / registro de eventos: Splunk Enterprise y Splunk Universal Forwarder
• Telemetría del endpoint: Sysmon y Advanced Windows Audit Policy

📁 Estructura del Repositorio

printnightmare-detection-lab/
├── README.md
├── sysmon-config.xml
├── splunk-queries/
│   ├── 01_suspicious_spoolsv_child_process.spl
│   ├── 02_unsigned_dll_loaded_by_spoolsv.spl
│   └── 03_dll_written_to_spool_driver_path.spl
├── screenshots/
│   ├── 01_splunk_data_ingestion.png
│   ├── 02_dashboard_overview.png
│   ├── 03_dashboard_overview.png
│   └── 04_atomic_red_team_execution.png
├── incident-report/
│   └── IR_Report_PrintNightmare.pdf