Laboratoire de détection des menaces et réponse aux incidents PrintNightmare (CVE-2021-34527)

📌 Aperçu

Ce projet documente une implémentation de bout en bout de la surveillance de la sécurité, de l'ingénierie de détection et de la réponse aux incidents ciblant PrintNightmare (CVE-2021-34527). PrintNightmare est une vulnérabilité critique du service Windows Print Spooler (spoolsv.exe) qui permet l'exécution de code à distance (RCE) non authentifiée et l'élévation de privilèges locale (LPE) vers les privilèges SYSTEM.

L'objectif de ce laboratoire était de simuler la télémétrie d'exploitation, de capturer les journaux d'audit du noyau et du système via Sysmon et les journaux d'événements de sécurité Windows, d'ingérer les événements dans le SIEM Splunk Enterprise, de concevoir des règles de détection ciblées en langage de traitement des recherches (SPL), et de générer un rapport formel de réponse aux incidents (IR).

🏗️ Architecture et environnement du laboratoire

• Attaquant : Atomic Red Team Test T1547.012 avec une DLL personnalisée
• Poste de travail victime : Windows 10 Pro (joint au domaine mydomain.com)
• Contrôleur de domaine : Windows Server 2019 (Active Directory DC)
• Pipeline SIEM / journalisation : Splunk Enterprise et Splunk Universal Forwarder
• Télémétrie des points de terminaison : Sysmon et stratégie d'audit avancée de Windows

📁 Structure du dépôt

printnightmare-detection-lab/
├── README.md
├── sysmon-config.xml
├── splunk-queries/
│   ├── 01_suspicious_spoolsv_child_process.spl
│   ├── 02_unsigned_dll_loaded_by_spoolsv.spl
│   └── 03_dll_written_to_spool_driver_path.spl
├── screenshots/
│   ├── 01_splunk_data_ingestion.png
│   ├── 02_dashboard_overview.png
│   ├── 03_dashboard_overview.png
│   └── 04_atomic_red_team_execution.png
├── incident-report/
│   └── IR_Report_PrintNightmare.pdf