Лаборатория по обнаружению и устранению PrintNightmare

Очищенное академическое тематическое исследование, демонстрирующее, как лабораторный стенд домена Windows был спроектирован, взят под мониторинг и укреплён при исследовании CVE-2021-34527 (PrintNightmare) в контролируемой виртуальной среде.

Примечание по безопасности: Этот репозиторий посвящён администрированию систем, защитному мониторингу, анализу улик и тестированию мер устранения уязвимости. В него намеренно не включены рабочий эксплойт-код, полезные нагрузки, учётные данные, сырые захваты пакетов, образы виртуальных машин и оригинальная университетская работа.

Обзор проекта

Проект включал три академических этапа: предложение уязвимости, проектирование обнаружения и устранения, а также реализацию с живой демонстрацией. Итоговый стенд воспроизвёл уязвимость в изолированной сети, сопоставил телеметрию хостов и сети, проверил несколько средств контроля и задокументировал как успешные, так и неудачные меры устранения.

Окружение

• Windows Server 2019 — контроллер домена
• Windows 10 — тестовая конечная точка, входящая в домен
• Kali Linux — рабочая станция для анализа и контролируемого тестирования
• Доменные службы Active Directory, DNS, организационные подразделения, пользователи и группы безопасности
• Изолированная NAT-сеть VirtualBox

Мониторинг и анализ

• Просмотр событий Windows: журналы PrintService, Security и System
• Сбор событий Sysmon
• Process Monitor и Print Management
• Анализ пакетов Wireshark и TShark
• Централизованный мониторинг на базе Splunk в общей архитектуре проекта
• Перечисление служб с помощью Nmap в изолированном стенде

Администрирование и устранение

• Настройка групповой политики и принудительное обновление политики
• Настройки Windows Firewall для ограничения доступности RPC и SMB
• Изменение с помощью PowerShell настроек управления доступом к конфиденциальным каталогам диспетчера очереди печати
• Ограничения диспетчера очереди печати и входящей удалённой печати
• Концепции автоматизации на Bash для воспроизводимого запуска стенда и его очистки

Архитектура

Изолированная топология отделяла тестовую рабочую станцию от контроллера домена и конечной точки, входящей в домен, позволяя команде наблюдать аутентификацию, взаимодействие SMB/RPC, активность служб и изменения на конечных точках.

Результаты обнаружения

Расследование сопоставляло несколько источников улик, а не полагалось на один продукт безопасности:

См. Анализ обнаружения и Защитный контрольный список TShark.

Результаты устранения

Основной вывод заключался в том, что многоуровневые средства контроля должны выбираться в соответствии с требованиями бизнеса. Технически эффективное средство контроля всё равно может оказаться неприемлемым, если оно нарушает работу необходимой службы.

См. Результаты устранения.

Мой задокументированный вклад

Этот проект выполнялся вдвоём в рамках университетской программы. Мой задокументированный вклад был сосредоточен на:

• ручной проверке и документировании контролируемого процесса тестирования;
• разработке автоматизации на Bash для воспроизводимости демонстрации;
• подготовке подробной пошаговой технической документации и скриншотов;
• объяснении этапов эксплуатации и обнаружения во время демонстрации;
• анализе улик с хостов и из сети с помощью средств мониторинга Windows и Wireshark/TShark.

Продемонстрированные навыки

• Администрирование Windows Server и Active Directory
• Настройка конечных точек Windows и устранение неполадок
• Основы DNS, TCP/IP, SMB и RPC
• Управление групповыми политиками и Windows Firewall
• Журналирование безопасности, корреляция событий и анализ инцидентов
• Анализ пакетов Wireshark/TShark
• Sysmon и Process Monitor
• Концепции автоматизации на PowerShell и Bash
• Оценка уязвимостей и проверка средств контроля
• Техническая документация и презентация

Содержимое репозитория

.
├── README.md
├── NOTICE.md
├── assets/
│   └── lab-architecture.svg
├── data/
│   ├── detection-indicators.csv
│   └── mitigation-results.csv
├── docs/
│   ├── architecture-and-administration.md
│   ├── detection-analysis.md
│   ├── mitigation-results.md
│   ├── project-lifecycle.md
│   └── lessons-learned.md
├── queries/
│   ├── tshark-defensive-checklist.md
│   └── windows-event-checklist.md
└── scripts/
    ├── README.md
    └── cleanup_lab_artifacts.sh

Объём портфолио

Репозиторий представляет собой краткое тематическое исследование, а не копию курсовой работы. Сырые данные PCAP, записи демонстраций, жёстко заданные учётные данные лаборатории, команды генерации полезных нагрузок, сторонний эксплойт-код, защищённые авторским правом справочники, оригинальные отчёты и образы виртуальных машин намеренно исключены.