CVE-2023-23397 डिटेक्शन और शमन अनुसंधान प्रयोगशाला

अवलोकन

यह परियोजना एक रक्षात्मक साइबर सुरक्षा अनुसंधान प्रयोगशाला है जो CVE-2023-23397 से जुड़े नेटवर्क व्यवहार पर केंद्रित है।

यह परियोजना एक Windows एंडपॉइंट से संदिग्ध आउटबाउंड SMB और NTLM प्रमाणीकरण का अध्ययन करती है और एक संपूर्ण रक्षात्मक कार्यप्रवाह प्रदर्शित करती है:

बेसलाइन
-> नेटवर्क अवलोकन
-> NTLM डिटेक्शन
-> अलर्ट जनरेशन
-> गेटवे शमन
-> होस्ट शमन
-> सत्यापन

प्रयोगशाला पूरी तरह से पृथक है और केवल अधिकृत सुरक्षा परीक्षण के लिए स्वामित्व और नियंत्रित प्रणालियों का उपयोग करती है।

अनुसंधान ढांचा

यह रिपॉजिटरी एक शोषण प्रदर्शन के बजाय एक पुनरुत्पादनीय रक्षात्मक सुरक्षा अध्ययन के रूप में संगठित है। इसका केंद्रीय अनुसंधान प्रश्न है:

क्या SMB/NTLM प्रोटोकॉल सेमांटिक्स और नेटवर्क ट्रस्ट सीमाएं CVE-2023-23397 से जुड़े असामान्य आउटबाउंड प्रमाणीकरण व्यवहार का पता लगा सकती हैं, और होस्ट-साइड और गेटवे-साइड शमन अवरोधन व्यवहार और सेंसर दृश्यता में कैसे भिन्न होते हैं?

यह अध्ययन चार प्रश्नों का मूल्यांकन करता है:

क्या एक पार्स किया गया NTLM Authenticate इवेंट प्रमाणीकरण को केवल TCP/445 कनेक्शन से अलग करता है;
क्या विक्टिम और अविश्वसनीय सबनेट बाधाएं दायरे से बाहर के प्रमाणीकरण को बाहर करती हैं;
Windows होस्ट फ़िल्टरिंग और Ubuntu गेटवे फ़िल्टरिंग नेटवर्क दृश्यता को कैसे बदलती हैं;
क्या पैकेट, प्रोटोकॉल, नोटिस, फ़ायरवॉल और रोलबैक साक्ष्य को विश्वसनीय रूप से सहसंबद्ध किया जा सकता है।

यह परियोजना CVE-2023-23397 से जुड़े बाध्य आउटबाउंड SMB/NTLM व्यवहार और संबंधित डिटेक्शन और शमन नियंत्रणों को मान्य करती है। यह सिद्ध नहीं करती कि Outlook ने किसी दुर्भावनापूर्ण MAPI संदेश को संसाधित किया या CVE-2023-23397 का शोषण किया गया।

अनुसंधान दस्तावेज़

दस्तावेज़	उद्देश्य
`report/project-report.md`	प्रश्नों, डिज़ाइन, परिणामों, चर्चा और सीमाओं के साथ मुख्य अनुसंधान रिपोर्ट
`docs/literature-review.md`	भेद्यता, Forced Authentication, NTLM, Zeek और फ़ायरवॉल नियंत्रणों पर प्रामाणिक कार्य की समीक्षा
`docs/research-methodology.md`	टोपोलॉजी, चर, नियंत्रण, प्रक्रियाएं, साक्ष्य स्रोत और वैधता सीमाएं
`docs/live-validation-2026-09-11.md`	सटीक लाइव सत्यापन अवलोकन और अंतिम प्रयोगशाला स्थिति
`evidence/validation-20260911/`	PCAPs, लॉग, अखंडता मैनिफ़ेस्ट और मशीन-पठनीय सत्यापन सारांश
`scripts/verify_validation_evidence.py`	केवल-पढ़ने योग्य स्वचालित साक्ष्य संगति जांच

परियोजना लक्ष्य

इस परियोजना के प्राथमिक लक्ष्य हैं:

एक पृथक बहु-नेटवर्क साइबर सुरक्षा प्रयोगशाला का निर्माण करना।
सामान्य SMB और NTLM प्रमाणीकरण व्यवहार का अवलोकन करना।
नेटवर्क साक्ष्य को कैप्चर और संरक्षित करना।
संदिग्ध आउटबाउंड NTLM प्रमाणीकरण के लिए एक कस्टम Zeek डिटेक्शन विकसित करना।
नियंत्रित ट्रैफ़िक का उपयोग करके डिटेक्शन को मान्य करना।
गेटवे-आधारित SMB शमन का परीक्षण करना।
Windows होस्ट-आधारित SMB शमन का परीक्षण करना।
शमन-पूर्व और शमन-पश्चात व्यवहार की तुलना करना।
देखे गए सुरक्षा व्यवहार को MITRE ATT&CK से मैप करना।
रक्षात्मक सुरक्षा अनुसंधान के लिए उपयुक्त पुनरुत्पादनीय साक्ष्य तैयार करना।

प्रयोगशाला आर्किटेक्चर

प्रयोगशाला में तीन वर्चुअल मशीनें हैं।

सिस्टम	भूमिका	पता
Windows-Victim	संरक्षित Windows एंडपॉइंट	`10.10.20.10/24`
Ubuntu-Sensor	राउटर और Zeek सुरक्षा सेंसर	`10.10.20.1/24`, `10.10.30.1/24`
Kali-Adversary	नियंत्रित SMB गंतव्य	`10.10.30.10/24`

तार्किक ट्रैफ़िक पथ:

Windows-Victim
10.10.20.10
      |
      | VICTIM_NET
      |
Ubuntu-Sensor
10.10.20.1 / 10.10.30.1
      |
      | ATTACK_NET
      |
Kali-Adversary
10.10.30.10

विक्टिम और एडवर्सरी नेटवर्क एक-दूसरे से अलग हैं।

उनके बीच का ट्रैफ़िक Ubuntu-Sensor से होकर गुज़रना चाहिए, जिससे सेंसर संचार को देख और नियंत्रित कर सके।

Ubuntu-Sensor तक प्रशासनिक SSH पहुँच के लिए एक अलग VMware प्रबंधन नेटवर्क का उपयोग किया जाता है।

अधिक जानकारी:

lab/network-plan.md

खतरा परिदृश्य

CVE-2023-23397 Microsoft Outlook से जुड़े ज़बरदस्ती आउटबाउंड प्रमाणीकरण व्यवहार से संबंधित है।

सुरक्षा की दृष्टि से प्रासंगिक व्यवहार यह है कि एक Windows सिस्टम हमलावर-नियंत्रित नेटवर्क संसाधन के प्रति प्रमाणीकरण करने का प्रयास करता है।

यह प्रयोगशाला देखे जा सकने वाले नेटवर्क व्यवहार पर केंद्रित है:

Windows endpoint
-> outbound TCP/445
-> SMB negotiation
-> NTLM authentication
-> network detection

प्रयोगशाला यह दावा नहीं करती कि प्रत्येक उत्पन्न SMB इवेंट Outlook भेद्यता के शोषण को दर्शाता है।

इसके बजाय, नियंत्रित SMB और NTLM ट्रैफ़िक का उपयोग रक्षात्मक डिटेक्शन लॉजिक को सुरक्षित रूप से विकसित और सत्यापित करने के लिए किया जाता है।

विस्तृत विश्लेषण:

docs/attack-flow.md

MITRE ATT&CK मैपिंग

प्राथमिक तकनीक:

T1187 - Forced Authentication

प्राथमिक रणनीति:

Credential Access

यह परियोजना एक संरक्षित वर्कस्टेशन से किसी अविश्वसनीय गंतव्य की ओर संदिग्ध आउटबाउंड प्रमाणीकरण का पता लगाने और उसे रोकने पर केंद्रित है।

बेसलाइन ट्रैफ़िक विश्लेषण

पहले चरण में Windows विक्टिम और नियंत्रित विरोधी के बीच सामान्य रूटेड संचार स्थापित किया गया।

डिटेक्शन लॉजिक पेश करने से पहले बेसलाइन पैकेट कैप्चर और Zeek कनेक्शन लॉग एकत्र किए गए।

इसने बाद की तुलना के लिए एक संदर्भ बिंदु प्रदान किया।

विश्लेषण:

docs/baseline-traffic-analysis.md

SMB और NTLM बेसलाइन

Kali-Adversary पर एक नियंत्रित SMB सर्वर होस्ट किया गया था।

Windows-Victim ने सफलतापूर्वक एक्सेस किया:

\\10.10.30.10\SHARE

Zeek ने सफलतापूर्वक पार्स किया:

TCP/445 संचार
SMB
NTLM
SMB शेयर मैपिंग
SMB फ़ाइल गतिविधि
सफल NTLM प्रमाणीकरण

बेसलाइन ने प्रदर्शित किया कि सेंसर कस्टम डिटेक्शन लॉजिक पेश किए जाने से पहले पूर्ण प्रमाणीकरण पथ का अवलोकन कर सकता है।

विश्लेषण:

docs/smb-baseline-analysis.md

कस्टम Zeek डिटेक्शन

एक कस्टम Zeek डिटेक्टर विकसित किया गया:

detections/zeek/cve_2023_23397_ntlm.zeek

डिटेक्टर उत्पन्न करता है:

CVE23397::Suspicious_Outbound_NTLM

नियम चार मुख्य शर्तों का मूल्यांकन करता है:

स्रोत संरक्षित विक्टिम नेटवर्क से संबंधित है।
गंतव्य नियंत्रित अविश्वसनीय नेटवर्क से संबंधित है।
गंतव्य पोर्ट TCP/445 है।
Zeek एक NTLM Authenticate ईवेंट देखता है।

यह अकेले TCP/445 पर अलर्ट करने की तुलना में अधिक संदर्भ प्रदान करता है।

डिटेक्शन लॉजिक:

Victim network
+
Untrusted destination
+
TCP/445
+
NTLM Authenticate
=
Suspicious outbound NTLM notice

बार-बार एक ही गंतव्य की ओर होने वाले प्रमाणीकरण के लिए डुप्लिकेट सूचनाओं को कम करने हेतु पाँच मिनट का सप्रेशन अंतराल उपयोग किया जाता है।

डिटेक्शन सत्यापन

कस्टम डिटेक्टर को नियंत्रित SMB और NTLM ट्रैफ़िक का उपयोग करके सफलतापूर्वक सत्यापित किया गया।

सत्यापित इवेंट ने निम्नलिखित के बीच सहसंबंध प्रदर्शित किया:

TCP कनेक्शन टेलीमेट्री
SMB संचार
NTLM प्रमाणीकरण
Zeek कनेक्शन UID
कस्टम Notice Framework अलर्ट

एक सत्यापित अलर्ट में निम्नलिखित शामिल था:

CVE23397::Suspicious_Outbound_NTLM

The detection analysis and integrity-verified evidence are documented in:

docs/ntlm-detection-analysis.md

Gateway Mitigation

The first mitigation was applied on Ubuntu-Sensor.

The gateway blocked forwarded TCP/445 traffic from:

10.10.20.10

से:

10.10.30.10:445

नियम सक्षम होने के बाद:

Windows SYN
-> Ubuntu Sensor
-> DROP

देखा गया परिणाम:

Windows TCP/445 कनेक्टिविटी विफल रही।
सेंसर ने SYN प्रयास और पुनःप्रेषण देखे।
फ़ायरवॉल DROP काउंटर बढ़ा।
कोई पूर्ण TCP हैंडशेक नहीं हुआ।
कोई SMB सत्र स्थापित नहीं हुआ।
कोई नया NTLM प्रमाणीकरण नहीं हुआ।
कोई नया कस्टम NTLM अलर्ट उत्पन्न नहीं हुआ।

सत्यापन:

docs/mitigation-validation.md

Windows होस्ट शमन

Windows Defender Firewall का उपयोग करके एक दूसरा शमन परीक्षण किया गया।

एंडपॉइंट ने आउटबाउंड को ब्लॉक किया:

TCP/445 -> 10.10.30.10

प्रेक्षित परिणाम:

TCP/445 कनेक्टिविटी विफल रही।
SMB पहुँच विफल रही।
Ubuntu-Sensor ने शून्य मेल खाते TCP/445 फ़्रेम कैप्चर किए।
सेंसर तक कोई नया NTLM प्रमाणीकरण नहीं पहुँचा।
कोई नया कस्टम Zeek नोटिस उत्पन्न नहीं हुआ।

इसने दो रक्षात्मक नियंत्रण बिंदुओं के बीच एक महत्वपूर्ण अंतर प्रदर्शित किया।

गेटवे फ़िल्टरिंग

Windows
-> SYN
-> Network Sensor
-> DROP

नेटवर्क सेंसर अवरुद्ध प्रयास में दृश्यता बनाए रखता है।

cve-2023-23397-detection-lab

सबसे लोकप्रिय