PrintNightmare 検出・緩和ラボ

管理された仮想環境で CVE-2021-34527 (PrintNightmare) を調査しながら、Windows ドメインラボがどのように設計・監視・堅牢化されたかを示す、サニタイズ済みの学術ケーススタディです。

安全上の注意: このリポジトリは、システム管理、防御的監視、証拠分析、緩和テストに焦点を当てています。実動用のエクスプロイトコード、ペイロード、認証情報、生のパケットキャプチャ、仮想マシンイメージ、および大学への元の提出物は意図的に含まれていません。

プロジェクト概要

このプロジェクトは、脆弱性の提案、検出・緩和の設計、ライブデモによる実装という 3 つの学術的フェーズに従いました。最終ラボでは、隔離されたネットワークで脆弱性を再現し、ホストとネットワークのテレメトリを相関させ、複数の制御策をテストし、成功した緩和策と失敗した緩和策の両方を文書化しました。

環境

• Windows Server 2019 ドメインコントローラー
• Windows 10 ドメイン参加済みテストエンドポイント
• Kali Linux 分析および管理されたテスト用ワークステーション
• Active Directory Domain Services、DNS、組織単位、ユーザー、セキュリティグループ
• 隔離された VirtualBox NAT ネットワーク

監視と分析

• Windows イベントビューアー: PrintService、Security、System の各ログ
• Sysmon イベント収集
• Process Monitor と Print Management
• Wireshark と TShark によるパケット解析
• より広範なプロジェクト設計における Splunk ベースの集中監視
• 隔離されたラボでの Nmap ベースのサービス列挙

管理と緩和

• グループポリシーの構成と強制ポリシー更新
• RPC および SMB の露出に対する Windows ファイアウォール制御
• 機密性の高い Print Spooler ディレクトリへの PowerShell によるアクセス制御変更
• Print Spooler と受信リモート印刷の制限
• 再現可能なラボ実行とクリーンアップのための Bash 自動化コンセプト

アーキテクチャ

隔離されたトポロジは、テスト用ワークステーションをドメインコントローラーおよびドメイン参加済みエンドポイントから分離しつつ、チームが認証、SMB/RPC 通信、サービスアクティビティ、エンドポイントの変更を監視できるようにしました。

検出所見

この調査では、単一のセキュリティ製品に依存するのではなく、複数の証拠ソースを相関させました:

検出分析 と 防御用 TShark チェックリスト を参照してください。

緩和結果

主な結論は、多層的な制御策はビジネス要件に応じて選択する必要があるということでした。技術的に効果的な制御策であっても、必要なサービスを中断する場合は不適切であり得ます。

緩和結果 を参照してください。

私の文書化された貢献の焦点

これは 2 人組の大学プロジェクトとして完了しました。文書化された私の貢献は以下に焦点を当てています:

• 管理されたテストワークフローの手動検証と文書化;
• デモを再現可能にする Bash 自動化の開発;
• 詳細なステップバイステップの技術文書とスクリーンショットの準備;
• デモ中におけるエクスプロイトと検出フェーズの説明; および
• Windows 監視ツールと Wireshark/TShark を使用したホストおよびネットワーク証拠の分析。

実証されたスキル

• Windows Server および Active Directory の管理
• Windows エンドポイントの構成とトラブルシューティング
• DNS、TCP/IP、SMB、RPC の基礎
• グループポリシーと Windows ファイアウォールの管理
• セキュリティログ、イベント相関、インシデント分析
• Wireshark/TShark パケット解析
• Sysmon と Process Monitor
• PowerShell と Bash の自動化コンセプト
• 脆弱性評価と制御策の検証
• 技術文書とプレゼンテーション

リポジトリの内容

.
├── README.md
├── NOTICE.md
├── assets/
│   └── lab-architecture.svg
├── data/
│   ├── detection-indicators.csv
│   └── mitigation-results.csv
├── docs/
│   ├── architecture-and-administration.md
│   ├── detection-analysis.md
│   ├── mitigation-results.md
│   ├── project-lifecycle.md
│   └── lessons-learned.md
├── queries/
│   ├── tshark-defensive-checklist.md
│   └── windows-event-checklist.md
└── scripts/
    ├── README.md
    └── cleanup_lab_artifacts.sh

ポートフォリオの範囲

このリポジトリは、評価のコピーではなく簡潔なケーススタディです。生の PCAP データ、デモ録画、ハードコードされたラボ認証情報、ペイロード生成コマンド、第三者製のエクスプロイトコード、著作権で保護された参考書、元のレポート、VM イメージは意図的に除外されています。