zhoucc-cpu/cve-2023-23397-detection-labLaboratoire de recherche en détection et atténuation pour CVE-2023-23397 utilisant la télémétrie de sécurité réseau et des points de terminaison.
Ce projet est un laboratoire de recherche en cybersécurité défensive axé sur le comportement réseau associé à CVE-2023-23397.
Le projet étudie l'authentification SMB et NTLM sortante suspecte depuis un point de terminaison Windows et démontre un flux de travail défensif complet :
Référence
-> Observation réseau
-> Détection NTLM
-> Génération d'alertes
-> Atténuation au niveau de la passerelle
-> Atténuation au niveau de l'hôte
-> Validation
Le laboratoire est entièrement isolé et n'utilise que des systèmes possédés et contrôlés pour des tests de sécurité autorisés.
Ce dépôt est organisé comme une étude reproductible de sécurité défensive plutôt qu'une démonstration d'exploit. Sa question de recherche centrale est la suivante :
La sémantique des protocoles SMB/NTLM et les frontières de confiance réseau peuvent-elles détecter un comportement d'authentification sortante anormal associé à CVE-2023-23397, et en quoi les atténuations côté hôte et côté passerelle diffèrent-elles en termes de comportement de blocage et de visibilité des capteurs ?
L'étude évalue quatre questions :
Le projet valide le comportement SMB/NTLM sortant forcé associé à CVE-2023-23397 ainsi que les contrôles de détection et d'atténuation correspondants. Il ne prouve pas qu'Outlook a traité un message MAPI malveillant ni que CVE-2023-23397 a été exploité.
| Document | Objectif |
|---|---|
report/project-report.md | Rapport de recherche principal avec questions, conception, résultats, discussion et limites |
docs/literature-review.md | Revue des travaux de référence sur la vulnérabilité, l'authentification forcée, NTLM, Zeek et les contrôles de pare-feu |
docs/research-methodology.md | Topologie, variables, contrôles, procédures, sources de preuves et limites de validité |
docs/live-validation-2026-09-11.md | Observations exactes de la validation en direct et état final du laboratoire |
evidence/validation-20260911/ | PCAP, journaux, manifeste d'intégrité et résumé de vérification lisible par machine |
scripts/verify_validation_evidence.py | Vérifications automatisées en lecture seule de la cohérence des preuves |
Les objectifs principaux de ce projet sont de :
Le laboratoire contient trois machines virtuelles.
| Système | Rôle | Adresse |
|---|---|---|
| Windows-Victim | Point de terminaison Windows protégé | 10.10.20.10/24 |
| Ubuntu-Sensor | Routeur et capteur de sécurité Zeek | 10.10.20.1/24, 10.10.30.1/24 |
| Kali-Adversary | Destination SMB contrôlée | 10.10.30.10/24 |
Chemin logique du trafic :
Windows-Victim
10.10.20.10
|
| VICTIM_NET
|
Ubuntu-Sensor
10.10.20.1 / 10.10.30.1
|
| ATTACK_NET
|
Kali-Adversary
10.10.30.10
Les réseaux de la victime et de l'attaquant sont isolés l'un de l'autre.
Le trafic entre eux doit traverser Ubuntu-Sensor, permettant au capteur d'observer et de contrôler la communication.
Un réseau de gestion VMware distinct est utilisé pour l'accès SSH administratif à Ubuntu-Sensor.
Plus d'informations :
lab/network-plan.md
CVE-2023-23397 est associé à un comportement d'authentification sortante forcée impliquant Microsoft Outlook.
Le comportement pertinent pour la sécurité est une tentative d'un système Windows de s'authentifier auprès d'une ressource réseau contrôlée par l'attaquant.
Ce laboratoire se concentre sur le comportement réseau observable :
Windows endpoint
-> outbound TCP/445
-> SMB negotiation
-> NTLM authentication
-> network detection
Le laboratoire ne prétend pas que chaque événement SMB généré représente une exploitation de la vulnérabilité Outlook.
Au lieu de cela, un trafic SMB et NTLM contrôlé est utilisé pour développer et valider en toute sécurité une logique de détection défensive.
Analyse détaillée :
docs/attack-flow.md
Technique principale :
T1187 - Forced Authentication
Tactique principale :
Credential Access
Le projet se concentre sur la détection et la prévention de l'authentification sortante suspecte depuis un poste de travail protégé vers une destination non fiable.
La première phase a établi une communication routée normale entre la victime Windows et l'adversaire contrôlé.
Des captures de paquets de référence et des journaux de connexion Zeek ont été collectés avant l'introduction de la logique de détection.
Cela a fourni un point de référence pour une comparaison ultérieure.
Analyse :
docs/baseline-traffic-analysis.md
Un serveur SMB contrôlé a été hébergé sur Kali-Adversary.
Windows-Victim a accédé avec succès à :
\\10.10.30.10\SHARE
Zeek a analysé avec succès :
La base de référence a démontré que le capteur pouvait observer le chemin d'authentification complet avant l'introduction de la logique de détection personnalisée.
Analyse :
docs/smb-baseline-analysis.md
Un détecteur Zeek personnalisé a été développé :
detections/zeek/cve_2023_23397_ntlm.zeek
Le détecteur génère :
CVE23397::Suspicious_Outbound_NTLM
La règle évalue quatre conditions principales :
Cela fournit plus de contexte qu'une alerte sur TCP/445 seul.
Logique de détection :
Victim network
+
Untrusted destination
+
TCP/445
+
NTLM Authenticate
=
Suspicious outbound NTLM notice
Un intervalle de suppression de cinq minutes est utilisé pour réduire les notifications en double lors d'authentifications répétées vers la même destination.
Le détecteur personnalisé a été validé avec succès à l'aide de trafic SMB et NTLM contrôlé.
L'événement validé a démontré une corrélation entre :
Une alerte validée comprenait :
CVE23397::Suspicious_Outbound_NTLM
L'analyse de détection et les preuves vérifiées par intégrité sont documentées dans :
docs/ntlm-detection-analysis.md
La première mesure d'atténuation a été appliquée sur Ubuntu-Sensor.