مختبر بحث كشف وتخفيف CVE-2023-23397

نظرة عامة

هذا المشروع عبارة عن مختبر بحثي دفاعي في الأمن السيبراني يركز على سلوك الشبكة المرتبط بـ CVE-2023-23397.

يدرس المشروع مصادقة SMB وNTLM الصادرة المشبوهة من نقطة نهاية Windows، ويوضح سير عمل دفاعيًا كاملًا:

خط الأساس
-> مراقبة الشبكة
-> كشف NTLM
-> توليد التنبيهات
-> التخفيف على البوابة
-> التخفيف على المضيف
-> التحقق

المختبر معزول بالكامل ولا يستخدم سوى أنظمة مملوكة ومُتحكَّم بها لإجراء اختبارات أمنية مصرح بها.

---

تأطير البحث

تم تنظيم هذا المستودع كدراسة أمنية دفاعية قابلة لإعادة الإنتاج بدلًا من كونه عرضًا لاستغلال ثغرة. سؤال البحث المحوري هو:

هل يمكن لدلالات بروتوكول SMB/NTLM وحدود الثقة في الشبكة كشف سلوك المصادقة الصادرة الشاذ المرتبط بـ CVE-2023-23397، وكيف تختلف التخفيفات على جانب المضيف وجانب البوابة في سلوك الحجب ومدى رؤية أجهزة الاستشعار؟

تقيّم الدراسة أربعة أسئلة:

• ما إذا كان حدث NTLM Authenticate المُحلَّل يميّز المصادقة عن اتصال TCP/445 فقط؛
• ما إذا كانت قيود شبكة الضحية والشبكة غير الموثوقة تستبعد المصادقة الخارجة عن النطاق؛
• كيف يغيّر التصفية على مضيف Windows والتصفية على بوابة Ubuntu من رؤية الشبكة؛
• ما إذا كان يمكن ربط أدلة الحزم والبروتوكول والإشعارات والجدار الناري والتراجع بشكل موثوق.

يتحقق المشروع من سلوك SMB/NTLM الصادر القسري المرتبط بـ CVE-2023-23397 وضوابط الكشف والتخفيف المقابلة. وهو لا يثبت أن Outlook عالج رسالة MAPI خبيثة أو أن CVE-2023-23397 قد استُغلت.

وثائق البحث

الوثيقة	الغرض
report/project-report.md	التقرير البحثي الرئيسي مع الأسئلة والتصميم والنتائج والمناقشة والقيود
docs/literature-review.md	مراجعة الأعمال المرجعية حول الثغرة وForced Authentication وNTLM وZeek وضوابط الجدار الناري
docs/research-methodology.md	الطوبولوجيا والمتغيرات والضوابط والإجراءات ومصادر الأدلة وحدود الصلاحية
docs/live-validation-2026-09-11.md	ملاحظات التحقق المباشر الدقيقة والحالة النهائية للمختبر
evidence/validation-20260911/	ملفات PCAP والسجلات وبيان السلامة وملخص تحقق قابل للقراءة آليًا
scripts/verify_validation_evidence.py	فحوصات آلية للاتساق بين الأدلة للقراءة فقط

---

أهداف المشروع

الأهداف الأساسية لهذا المشروع هي:

• بناء مختبر أمن سيبراني معزول متعدد الشبكات.
• مراقبة سلوك مصادقة SMB وNTLM الطبيعي.
• التقاط أدلة الشبكة والحفاظ عليها.
• تطوير كشف مخصص في Zeek لمصادقة NTLM الصادرة المشبوهة.
• التحقق من الكشف باستخدام حركة مرور مُتحكَّم بها.
• اختبار تخفيف SMB على مستوى البوابة.
• اختبار تخفيف SMB على مستوى مضيف Windows.
• مقارنة السلوك قبل التخفيف وبعده.
• ربط سلوك الأمان الملاحظ بـ MITRE ATT&CK.
• إنتاج أدلة قابلة لإعادة الإنتاج مناسبة للبحث الأمني الدفاعي.

---

بنية المختبر

يحتوي المختبر على ثلاث أجهزة افتراضية.

النظام	الدور	العنوان
Windows-Victim	نقطة نهاية Windows محمية	10.10.20.10/24
Ubuntu-Sensor	موجّه ومستشعر أمان Zeek	10.10.20.1/24، 10.10.30.1/24
Kali-Adversary	وجهة SMB مُتحكَّم بها	10.10.30.10/24

مسار حركة المرور المنطقي:

Windows-Victim
10.10.20.10
      |
      | VICTIM_NET
      |
Ubuntu-Sensor
10.10.20.1 / 10.10.30.1
      |
      | ATTACK_NET
      |
Kali-Adversary
10.10.30.10

تُعزل شبكات الضحية والخصم عن بعضها البعض.

يجب أن تمر حركة المرور بينهما عبر Ubuntu-Sensor، مما يسمح للحساس بمراقبة الاتصال والتحكم فيه.

تُستخدم شبكة إدارة VMware منفصلة للوصول الإداري عبر SSH إلى Ubuntu-Sensor.

مزيد من المعلومات:

lab/network-plan.md

---

سيناريو التهديد

يرتبط CVE-2023-23397 بسلوك مصادقة صادرة قسرية يتعلق بـ Microsoft Outlook.

السلوك ذو الصلة الأمنية هو محاولة نظام Windows المصادقة إلى مورد شبكة يتحكم فيه المهاجم.

يركز هذا المختبر على سلوك الشبكة القابل للملاحظة:

Windows endpoint
-> outbound TCP/445
-> SMB negotiation
-> NTLM authentication
-> network detection

لا يدّعي المختبر أن كل حدث SMB مُولَّد يمثل استغلالًا لثغرة Outlook.

بدلًا من ذلك، تُستخدم حركة SMB وNTLM المُتحكَّم بها لتطوير منطق الكشف الدفاعي والتحقق منه بأمان.

تحليل مفصّل:

docs/attack-flow.md

---

تعيين MITRE ATT&CK

التقنية الأساسية:

T1187 - Forced Authentication

التكتيك الأساسي:

Credential Access

يركّز المشروع على كشف ومنع المصادقة الصادرة المشبوهة من محطة عمل محمية نحو وجهة غير موثوقة.

---

تحليل حركة المرور الأساسية

أنشأت المرحلة الأولى اتصالًا طبيعيًا عبر الموجّه بين ضحية Windows والخصم المُتحكَّم به.

جُمعت لقطات الحزم الأساسية وسجلات اتصال Zeek قبل إدخال منطق الكشف.

وفّر ذلك نقطة مرجعية للمقارنة اللاحقة.

التحليل:

docs/baseline-traffic-analysis.md

---

أساس SMB وNTLM

استُضيف خادم SMB مُتحكَّم به على Kali-Adversary.

وصل Windows-Victim بنجاح إلى:

\\10.10.30.10\SHARE

تم تحليل Zeek بنجاح:

• اتصال TCP/445
• SMB
• NTLM
• تعيينات مشاركة SMB
• نشاط ملفات SMB
• مصادقة NTLM ناجحة

أثبت خط الأساس أن المستشعر كان قادرًا على رصد مسار المصادقة الكامل قبل إدخال منطق الكشف المخصص.

التحليل:

docs/smb-baseline-analysis.md

---

كشف Zeek المخصص

تم تطوير كاشف Zeek مخصص:

detections/zeek/cve_2023_23397_ntlm.zeek

يولّد الكاشف:

CVE23397::Suspicious_Outbound_NTLM

تُقيّم القاعدة أربعة شروط رئيسية:

1. ينتمي المصدر إلى شبكة الضحية المحمية.
2. تنتمي الوجهة إلى الشبكة غير الموثوقة الخاضعة للسيطرة.
3. منفذ الوجهة هو TCP/445.
4. يرصد Zeek حدث NTLM Authenticate.

يوفر هذا سياقًا أكبر من التنبيه على TCP/445 وحده.

منطق الكشف:

Victim network
+
Untrusted destination
+
TCP/445
+
NTLM Authenticate
=
Suspicious outbound NTLM notice

يُستخدم فاصل كبت مدته خمس دقائق لتقليل الإشعارات المكررة الناتجة عن المصادقة المتكررة تجاه الوجهة نفسها.

---

التحقق من الكشف

تم التحقق من الكاشف المخصص بنجاح باستخدام حركة SMB وNTLM خاضعة للتحكم.

أظهر الحدث الذي تم التحقق منه ارتباطًا بين:

• بيانات اتصال TCP
• اتصال SMB
• مصادقة NTLM
• معرّف اتصال Zeek (UID)
• تنبيه مخصص من إطار الإشعارات (Notice Framework)

تضمّن التنبيه الذي تم التحقق منه:

CVE23397::Suspicious_Outbound_NTLM

تم توثيق تحليل الكشف والأدلة المتحقق من سلامتها في:

docs/ntlm-detection-analysis.md

---

تخفيف العبء على البوابة

تم تطبيق التخفيف الأول على Ubuntu-Sensor.

حجبت البوابة حركة TCP/445 المُمرَّرة من:

10.10.20.10

إلى:

10.10.30.10:445

بعد تفعيل القاعدة:

Windows SYN
-> Ubuntu Sensor
-> DROP

النتيجة المرصودة:

• فشل اتصال TCP/445 على Windows.
• رصد المستشعر محاولات SYN وإعادات الإرسال.
• ارتفع عدّاد DROP في جدار الحماية.
• لم يحدث أي مصافحة TCP كاملة.
• لم يتم إنشاء أي جلسة SMB.
• لم يحدث أي مصادقة NTLM جديدة.
• لم يتم إنشاء أي تنبيه NTLM مخصص جديد.

التحقق:

docs/mitigation-validation.md

---

تخفيف أثر مضيف Windows

تم اختبار تخفيف ثانٍ باستخدام Windows Defender Firewall.

حظرت نقطة النهاية الاتصالات الصادرة:

TCP/445 -> 10.10.30.10

النتيجة المرصودة:

• فشل الاتصال بـ TCP/445.
• فشل الوصول إلى SMB.
• لم يلتقط Ubuntu-Sensor أي إطارات TCP/445 مطابقة.
• لم يصل أي مصادقة NTLM جديدة إلى المستشعر.
• لم يتم إنشاء أي إشعار Zeek مخصص جديد.

أظهر هذا فرقًا مهمًا بين نقطتي التحكم الدفاعيتين.

تصفية البوابة

Windows
-> SYN
-> Network Sensor
-> DROP

يحتفظ مستشعر الشبكة بالرؤية على المحاولة المحظورة.

تصفية المضيف

Windows
-> Host Firewall DROP

لا تصل الحزمة أبدًا إلى مستشعر الشبكة الخارجية.

التحقق:

docs/windows-host-mitigation-validation.md

---

مقارنة الكشف والتخفيف

الحالة	TCP/445	رؤية المستشعر	SMB	NTLM	تنبيه Zeek
بدون تخفيف	مسموح	كامل	نعم	نعم	نعم
حظر البوابة	محظور عند البوابة	محاولات SYN مرئية	لا	لا	لا
حظر مضيف Windows	محظور عند نقطة النهاية	لا توجد حزم مطابقة	لا	لا	لا

يوضح هذا كلاً من الضوابط الكشفية والوقائية.

---

الدفاع في العمق

يوضح المختبر أنه ينبغي استخدام الكشف والوقاية معًا.

يتضمن النموذج الدفاعي:

Endpoint filtering
        +
Network egress filtering
        +
Zeek network monitoring
        +
NTLM authentication monitoring
        +
Patch management

توفّر عناصر التحكم في البوابة فرضًا مركزيًا ورؤية على مستوى الشبكة.

توقف عناصر التحكم في المضيف الاتصال غير المرغوب فيه في وقت أبكر.

توفّر Zeek رؤية عندما يصل المصادقة المشبوهة إلى مسار الشبكة المراقَب.

---