PrintNightmare पहचान और शमन प्रयोगशाला

एक सैनिटाइज़्ड अकादमिक केस स्टडी जो दर्शाती है कि एक नियंत्रित आभासी वातावरण में CVE-2021-34527 (PrintNightmare) की जाँच करते समय Windows डोमेन प्रयोगशाला को कैसे डिज़ाइन, मॉनिटर और सुरक्षित किया गया।

सुरक्षा टिप्पणी: यह रिपॉज़िटरी सिस्टम प्रशासन, रक्षात्मक निगरानी, साक्ष्य विश्लेषण और शमन परीक्षण पर केंद्रित है। यह जानबूझकर परिचालन शोषण कोड, पेलोड, क्रेडेंशियल, कच्चे पैकेट कैप्चर, वर्चुअल-मशीन इमेज और मूल विश्वविद्यालय सबमिशन को बाहर रखता है।

परियोजना अवलोकन

इस परियोजना ने तीन अकादमिक चरणों का पालन किया: भेद्यता प्रस्ताव, पहचान-और-शमन डिज़ाइन, और लाइव प्रदर्शन के साथ कार्यान्वयन। अंतिम प्रयोगशाला ने एक पृथक नेटवर्क में भेद्यता को पुनः उत्पन्न किया, होस्ट और नेटवर्क टेलीमेट्री को सहसंबद्ध किया, कई नियंत्रणों का परीक्षण किया, और सफल तथा असफल दोनों शमनों का दस्तावेजीकरण किया।

पर्यावरण

• Windows Server 2019 डोमेन नियंत्रक
• Windows 10 डोमेन-जॉइन परीक्षण एंडपॉइंट
• Kali Linux विश्लेषण और नियंत्रित परीक्षण वर्कस्टेशन
• Active Directory Domain Services, DNS, संगठनात्मक इकाइयाँ, उपयोगकर्ता और सुरक्षा समूह
• पृथक VirtualBox NAT नेटवर्क

निगरानी और विश्लेषण

• Windows Event Viewer: PrintService, Security और System लॉग
• Sysmon इवेंट संग्रहण
• Process Monitor और Print Management
• Wireshark और TShark पैकेट विश्लेषण
• व्यापक परियोजना डिज़ाइन में Splunk-आधारित केंद्रीकृत निगरानी
• पृथक प्रयोगशाला में Nmap-आधारित सेवा एन्यूमरेशन

प्रशासन और शमन

• समूह नीति कॉन्फ़िगरेशन और अनिवार्य नीति रिफ़्रेश
• RPC और SMB एक्सपोज़र के लिए Windows फ़ायरवॉल नियंत्रण
• संवेदनशील Print Spooler निर्देशिकाओं के लिए PowerShell एक्सेस-नियंत्रण परिवर्तन
• Print Spooler और इनबाउंड रिमोट-प्रिंटिंग प्रतिबंध
• दोहराने योग्य प्रयोगशाला निष्पादन और सफ़ाई के लिए Bash स्वचालन अवधारणाएँ

आर्किटेक्चर

पृथक टोपोलॉजी ने परीक्षण वर्कस्टेशन को डोमेन नियंत्रक और डोमेन-जॉइन एंडपॉइंट से अलग रखा, जबकि टीम को प्रमाणीकरण, SMB/RPC संचार, सेवा गतिविधि और एंडपॉइंट परिवर्तनों का अवलोकन करने की अनुमति दी।

पहचान निष्कर्ष

जाँच ने किसी एकल सुरक्षा उत्पाद पर निर्भर रहने के बजाय कई साक्ष्य स्रोतों को सहसंबद्ध किया:

देखें पहचान विश्लेषण और रक्षात्मक TShark चेकलिस्ट।

शमन परिणाम

मुख्य निष्कर्ष यह था कि स्तरित नियंत्रणों का चयन व्यावसायिक आवश्यकताओं के अनुसार किया जाना चाहिए। एक तकनीकी रूप से प्रभावी नियंत्रण फिर भी अनुपयुक्त हो सकता है यदि वह किसी आवश्यक सेवा को बाधित करता है।

देखें शमन परिणाम।

मेरे प्रलेखित योगदान का फोकस

यह एक दो-व्यक्ति विश्वविद्यालय परियोजना के रूप में पूरा किया गया था। मेरा प्रलेखित योगदान निम्न पर केंद्रित था:

• नियंत्रित परीक्षण कार्यप्रवाह को मैन्युअल रूप से मान्य करना और उसका दस्तावेजीकरण करना;
• प्रदर्शन को दोहराने योग्य बनाने के लिए Bash स्वचालन विकसित करना;
• विस्तृत चरण-दर-चरण तकनीकी दस्तावेज़ीकरण और स्क्रीनशॉट तैयार करना;
• प्रदर्शन के दौरान शोषण और पहचान चरणों की व्याख्या करना; और
• Windows मॉनिटरिंग टूल और Wireshark/TShark का उपयोग करके होस्ट और नेटवर्क साक्ष्य का विश्लेषण करना।

प्रदर्शित कौशल

• Windows Server और Active Directory प्रशासन
• Windows एंडपॉइंट कॉन्फ़िगरेशन और समस्या निवारण
• DNS, TCP/IP, SMB और RPC की मूल बातें
• समूह नीति और Windows फ़ायरवॉल प्रबंधन
• सुरक्षा लॉगिंग, इवेंट सहसंबंध और घटना विश्लेषण
• Wireshark/TShark पैकेट विश्लेषण
• Sysmon और Process Monitor
• PowerShell और Bash स्वचालन अवधारणाएँ
• भेद्यता आकलन और नियंत्रण मान्यकरण
• तकनीकी दस्तावेज़ीकरण और प्रस्तुति

रिपॉज़िटरी सामग्री

.
├── README.md
├── NOTICE.md
├── assets/
│   └── lab-architecture.svg
├── data/
│   ├── detection-indicators.csv
│   └── mitigation-results.csv
├── docs/
│   ├── architecture-and-administration.md
│   ├── detection-analysis.md
│   ├── mitigation-results.md
│   ├── project-lifecycle.md
│   └── lessons-learned.md
├── queries/
│   ├── tshark-defensive-checklist.md
│   └── windows-event-checklist.md
└── scripts/
    ├── README.md
    └── cleanup_lab_artifacts.sh

पोर्टफोलियो दायरा

यह रिपॉज़िटरी मूल्यांकन की प्रति के बजाय एक संक्षिप्त केस स्टडी है। कच्चा PCAP डेटा, प्रदर्शन रिकॉर्डिंग, हार्डकोडेड प्रयोगशाला क्रेडेंशियल, पेलोड-निर्माण कमांड, तृतीय-पक्ष शोषण कोड, कॉपीराइट संदर्भ पुस्तकें, मूल रिपोर्ट और VM इमेज जानबूझकर शामिल नहीं हैं।