Laboratório de Deteção e Mitigação do PrintNightmare

Um estudo de caso académico sanitizado que demonstra como um laboratório de domínio Windows foi concebido, monitorizado e reforçado durante a investigação de CVE-2021-34527 (PrintNightmare) num ambiente virtual controlado.

Nota de segurança: Este repositório centra-se em administração de sistemas, monitorização defensiva, análise de evidências e testes de mitigação. Exclui intencionalmente código de exploit operacional, payloads, credenciais, capturas de pacotes brutas, imagens de máquinas virtuais e a submissão universitária original.

Visão geral do projeto

O projeto seguiu três fases académicas: proposta da vulnerabilidade, conceção de deteção e mitigação, e implementação com uma demonstração ao vivo. O laboratório final reproduziu a vulnerabilidade numa rede isolada, correlacionou a telemetria do anfitrião e da rede, testou vários controlos e documentou tanto as mitigações bem-sucedidas como as mal-sucedidas.

Ambiente

• Windows Server 2019 controlador de domínio
• Windows 10 endpoint de teste associado ao domínio
• Kali Linux estação de trabalho de análise e de testes controlados
• Active Directory Domain Services, DNS, unidades organizacionais, utilizadores e grupos de segurança
• Rede VirtualBox NAT isolada

Monitorização e análise

• Windows Event Viewer: registos de PrintService, Security e System
• Recolha de eventos do Sysmon
• Process Monitor e Print Management
• Análise de pacotes com Wireshark e TShark
• Monitorização centralizada baseada em Splunk na conceção mais ampla do projeto
• Enumeração de serviços baseada em Nmap no laboratório isolado

Administração e mitigação

• Configuração de Group Policy e atualização forçada da política
• Controlos do Windows Firewall para a exposição de RPC e SMB
• Alterações de controlo de acesso através de PowerShell em diretórios sensíveis do Print Spooler
• Restrições ao Print Spooler e à impressão remota de entrada
• Conceitos de automação com Bash para execução repetível e limpeza do laboratório

Arquitetura

A topologia isolada separava a estação de trabalho de teste do controlador de domínio e do endpoint associado ao domínio, permitindo à equipa observar a autenticação, a comunicação SMB/RPC, a atividade dos serviços e as alterações nos endpoints.

Resultados da deteção

A investigação correlacionou várias fontes de evidência em vez de depender de um único produto de segurança:

Consulte Análise de Deteção e a Checklist Defensiva do TShark.

Resultados da mitigação

A principal conclusão foi que os controlos em camadas devem ser selecionados de acordo com os requisitos do negócio. Um controlo tecnicamente eficaz pode continuar a ser inadequado se interromper um serviço necessário.

Consulte Resultados da Mitigação.

Foco da minha contribuição documentada

Este trabalho foi concluído como um projeto universitário realizado por duas pessoas. A minha contribuição documentada centrou-se em:

• validar e documentar manualmente o fluxo de trabalho de testes controlados;
• desenvolver automação em Bash para tornar a demonstração repetível;
• preparar documentação técnica detalhada passo a passo e capturas de ecrã;
• explicar as fases de exploração e de deteção durante a demonstração; e
• analisar evidências do anfitrião e da rede utilizando ferramentas de monitorização do Windows e Wireshark/TShark.

Competências demonstradas

• Administração de Windows Server e Active Directory
• Configuração e resolução de problemas em endpoints Windows
• Fundamentos de DNS, TCP/IP, SMB e RPC
• Gestão de Group Policy e Windows Firewall
• Registo de segurança, correlação de eventos e análise de incidentes
• Análise de pacotes com Wireshark e TShark
• Sysmon e Process Monitor
• Conceitos de automação com PowerShell e Bash
• Avaliação de vulnerabilidades e validação de controlos
• Documentação técnica e apresentação

Conteúdo do repositório

.
├── README.md
├── NOTICE.md
├── assets/
│   └── lab-architecture.svg
├── data/
│   ├── detection-indicators.csv
│   └── mitigation-results.csv
├── docs/
│   ├── architecture-and-administration.md
│   ├── detection-analysis.md
│   ├── mitigation-results.md
│   ├── project-lifecycle.md
│   └── lessons-learned.md
├── queries/
│   ├── tshark-defensive-checklist.md
│   └── windows-event-checklist.md
└── scripts/
    ├── README.md
    └── cleanup_lab_artifacts.sh

Âmbito do portfólio

O repositório é um estudo de caso conciso, em vez de uma cópia do trabalho de avaliação. Dados PCAP brutos, gravações de demonstrações, credenciais de laboratório embutidas, comandos de geração de payloads, código de exploit de terceiros, livros de referência protegidos por direitos de autor, relatórios originais e imagens de VM são deliberadamente excluídos.