zhoucc-cpu/cve-2023-23397-detection-labLaboratorio de investigación de detección y mitigación para CVE-2023-23397 mediante telemetría de seguridad de red y endpoints.
Este proyecto es un laboratorio de investigación de ciberseguridad defensiva centrado en el comportamiento de red asociado a CVE-2023-23397.
El proyecto estudia la autenticación SMB y NTLM saliente sospechosa desde un endpoint Windows y demuestra un flujo de trabajo defensivo completo:
Línea base -> Observación de red -> Detección de NTLM -> Generación de alertas -> Mitigación en la puerta de enlace -> Mitigación en el host -> Validación
El laboratorio está totalmente aislado y utiliza únicamente sistemas propios y controlados para pruebas de seguridad autorizadas.
Este repositorio está organizado como un estudio de seguridad defensiva reproducible en lugar de una demostración de explotación. Su pregunta central de investigación es:
¿Pueden la semántica del protocolo SMB/NTLM y los límites de confianza de la red detectar comportamientos de autenticación saliente anómalos asociados a CVE-2023-23397, y en qué se diferencian las mitigaciones del lado del host y del lado de la puerta de enlace en cuanto al comportamiento de bloqueo y la visibilidad de los sensores?
El estudio evalúa cuatro cuestiones:
El proyecto valida el comportamiento forzado de SMB/NTLM saliente asociado a CVE-2023-23397 y los controles de detección y mitigación correspondientes. No demuestra que Outlook procesara un mensaje MAPI malicioso ni que CVE-2023-23397 fuera explotado.
| Documento | Propósito |
|---|---|
report/project-report.md | Informe principal de investigación con preguntas, diseño, resultados, discusión y limitaciones |
docs/literature-review.md | Revisión de trabajos autorizados sobre la vulnerabilidad, Forced Authentication, NTLM, Zeek y controles de firewall |
docs/research-methodology.md | Topología, variables, controles, procedimientos, fuentes de evidencia y límites de validez |
docs/live-validation-2026-09-11.md | Observaciones exactas de la validación en vivo y estado final del laboratorio |
evidence/validation-20260911/ | PCAPs, registros, manifiesto de integridad y resumen de verificación legible por máquina |
scripts/verify_validation_evidence.py | Comprobaciones automatizadas de solo lectura de la consistencia de la evidencia |
Los objetivos principales de este proyecto son:
El laboratorio contiene tres máquinas virtuales.
| Sistema | Rol | Dirección |
|---|---|---|
| Windows-Victim | Endpoint Windows protegido | 10.10.20.10/24 |
| Ubuntu-Sensor | Enrutador y sensor de seguridad Zeek | 10.10.20.1/24, 10.10.30.1/24 |
| Kali-Adversary | Destino SMB controlado | 10.10.30.10/24 |
Ruta lógica del tráfico:
Windows-Victim
10.10.20.10
|
| VICTIM_NET
|
Ubuntu-Sensor
10.10.20.1 / 10.10.30.1
|
| ATTACK_NET
|
Kali-Adversary
10.10.30.10
Las redes de la víctima y del adversario están aisladas entre sí.
El tráfico entre ellas debe atravesar Ubuntu-Sensor, permitiendo al sensor observar y controlar la comunicación.
Se utiliza una red de gestión de VMware independiente para el acceso administrativo por SSH a Ubuntu-Sensor.
Más información:
lab/network-plan.md
CVE-2023-23397 está asociado con un comportamiento de autenticación saliente forzada que involucra a Microsoft Outlook.
El comportamiento relevante para la seguridad es un sistema Windows que intenta autenticarse contra un recurso de red controlado por el atacante.
Este laboratorio se centra en el comportamiento de red observable:
Windows endpoint
-> outbound TCP/445
-> SMB negotiation
-> NTLM authentication
-> network detection
El laboratorio no afirma que cada evento SMB generado represente la explotación de la vulnerabilidad de Outlook.
En su lugar, se utiliza tráfico SMB y NTLM controlado para desarrollar y validar de forma segura la lógica de detección defensiva.
Análisis detallado:
docs/attack-flow.md
Técnica principal:
T1187 - Autenticación forzada
Táctica principal:
Acceso a credenciales
El proyecto se centra en detectar y prevenir la autenticación saliente sospechosa desde una estación de trabajo protegida hacia un destino no confiable.
La primera fase estableció una comunicación enrutada normal entre la víctima Windows y el adversario controlado.
Se recopilaron capturas de paquetes de referencia y registros de conexión de Zeek antes de introducir la lógica de detección.
Esto proporcionó un punto de referencia para comparaciones posteriores.
Análisis:
docs/baseline-traffic-analysis.md
Se alojó un servidor SMB controlado en Kali-Adversary.
Windows-Victim accedió correctamente a:
\\10.10.30.10\SHARE
Zeek analizó correctamente:
La línea base demostró que el sensor podía observar la ruta de autenticación completa antes de introducir la lógica de detección personalizada.
Análisis:
docs/smb-baseline-analysis.md
Se desarrolló un detector personalizado de Zeek:
detections/zeek/cve_2023_23397_ntlm.zeek
El detector genera:
CVE23397::Suspicious_Outbound_NTLM
La regla evalúa cuatro condiciones principales:
Esto proporciona más contexto que alertar solo sobre TCP/445.
Lógica de detección:
Victim network
+
Untrusted destination
+
TCP/445
+
NTLM Authenticate
=
Suspicious outbound NTLM notice
Se utiliza un intervalo de supresión de cinco minutos para reducir las notificaciones duplicadas por autenticaciones repetidas hacia el mismo destino.
El detector personalizado se validó correctamente utilizando tráfico SMB y NTLM controlado.
El evento validado demostró la correlación entre:
Una alerta validada incluía:
CVE23397::Suspicious_Outbound_NTLM
El análisis de detección y la evidencia verificada por integridad están documentados en:
docs/ntlm-detection-analysis.md
La primera mitigación se aplicó en Ubuntu-Sensor.
La puerta de enlace bloqueó el tráfico TCP/445 reenviado desde:
10.10.20.10
a:
10.10.30.10:445