PrintNightmare 检测与缓解实验环境

一项经过脱敏处理的学术案例研究，展示了在受控虚拟环境中调查 CVE-2021-34527 (PrintNightmare) 时，如何设计、监控并加固一个 Windows 域实验环境。

安全说明： 本仓库专注于系统管理、防御性监控、证据分析和缓解测试，并有意排除可运行的漏洞利用代码、载荷、凭据、原始数据包捕获、虚拟机镜像以及原始大学提交内容。

项目概述

该项目遵循了三个学术阶段：漏洞提案、检测与缓解设计，以及带现场演示的实施。最终的实验环境在隔离网络中复现了该漏洞，关联了主机与网络遥测数据，测试了多项控制措施，并记录了成功与不成功的缓解方案。

环境

• Windows Server 2019 域控制器
• Windows 10 已加入域的测试终端
• Kali Linux 分析与受控测试工作站
• Active Directory 域服务、DNS、组织单位、用户和安全组
• 隔离的 VirtualBox NAT 网络

监控与分析

• Windows 事件查看器：PrintService、安全和系统日志
• Sysmon 事件收集
• 进程监视器 (Process Monitor) 和打印管理 (Print Management)
• Wireshark 和 TShark 数据包分析
• 更广泛项目设计中基于 Splunk 的集中监控
• 隔离实验环境中基于 Nmap 的服务枚举

管理与缓解

• 组策略配置和强制策略刷新
• 针对 RPC 和 SMB 暴露面的 Windows 防火墙控制
• 对敏感打印后台处理程序 (Print Spooler) 目录的 PowerShell 访问控制更改
• Print Spooler 和入站远程打印限制
• 用于可重复实验执行和清理的 Bash 自动化概念

架构

隔离拓扑将测试工作站与域控制器和已加入域的终端分离开来，同时使团队能够观察身份验证、SMB/RPC 通信、服务活动和终端变更。

检测发现

调查关联了多个证据来源，而非依赖单一安全产品：

参见检测分析和防御性 TShark 检查清单。

缓解结果

主要结论是，必须根据业务需求选择分层控制措施。一项技术上有效的控制措施如果会干扰必需的服务，仍然可能不适用。

参见缓解结果。

我所记录的贡献重点

这是一个由两人完成的大学项目。我所记录的贡献重点包括：

• 手动验证并记录受控测试工作流程；
• 开发 Bash 自动化功能，使演示可重复执行；
• 编写详细的分步技术文档和截图；
• 在演示期间讲解漏洞利用和检测阶段；以及
• 使用 Windows 监控工具和 Wireshark/TShark 分析主机与网络证据。

所展示的技能

• Windows Server 和 Active Directory 管理
• Windows 终端配置和故障排除
• DNS、TCP/IP、SMB 和 RPC 基础知识
• 组策略和 Windows 防火墙管理
• 安全日志记录、事件关联和事件分析
• Wireshark/TShark 数据包分析
• Sysmon 和进程监视器 (Process Monitor)
• PowerShell 和 Bash 自动化概念
• 漏洞评估和控制措施验证
• 技术文档编写与演示

仓库内容

.
├── README.md
├── NOTICE.md
├── assets/
│   └── lab-architecture.svg
├── data/
│   ├── detection-indicators.csv
│   └── mitigation-results.csv
├── docs/
│   ├── architecture-and-administration.md
│   ├── detection-analysis.md
│   ├── mitigation-results.md
│   ├── project-lifecycle.md
│   └── lessons-learned.md
├── queries/
│   ├── tshark-defensive-checklist.md
│   └── windows-event-checklist.md
└── scripts/
    ├── README.md
    └── cleanup_lab_artifacts.sh

作品集范围

本仓库是一份简明案例研究，而非评估材料的副本。原始 PCAP 数据、演示录像、硬编码的实验室凭据、载荷生成命令、第三方漏洞利用代码、受版权保护的参考书籍、原始报告和虚拟机镜像均被有意排除。