zhoucc-cpu/cve-2023-23397-detection-labLaboratorio di ricerca per il rilevamento e la mitigazione di CVE-2023-23397 tramite telemetria di sicurezza di rete e degli endpoint.
Questo progetto è un laboratorio di ricerca sulla cybersecurity difensiva incentrato sul comportamento di rete associato a CVE-2023-23397.
Il progetto studia l'autenticazione SMB e NTLM in uscita sospetta da un endpoint Windows e dimostra un flusso di lavoro difensivo completo:
Baseline
-> Osservazione della rete
-> Rilevamento NTLM
-> Generazione di avvisi
-> Mitigazione a livello di gateway
-> Mitigazione a livello di host
-> Validazione
Il laboratorio è completamente isolato e utilizza solo sistemi di proprietà e sotto controllo per test di sicurezza autorizzati.
Questo repository è organizzato come uno studio riproducibile di sicurezza difensiva anziché come una dimostrazione di exploit. La sua domanda di ricerca centrale è:
La semantica dei protocolli SMB/NTLM e i confini di fiducia della rete possono rilevare comportamenti anomali di autenticazione in uscita associati a CVE-2023-23397, e in che modo le mitigazioni lato host e lato gateway differiscono nel comportamento di blocco e nella visibilità dei sensori?
Lo studio valuta quattro questioni:
Il progetto convalida il comportamento forzato di SMB/NTLM in uscita associato a CVE-2023-23397 e i corrispondenti controlli di rilevamento e mitigazione. Non dimostra che Outlook abbia elaborato un messaggio MAPI malevolo né che CVE-2023-23397 sia stato sfruttato.
| Documento | Scopo |
|---|---|
report/project-report.md | Report di ricerca principale con domande, progettazione, risultati, discussione e limitazioni |
docs/literature-review.md | Revisione dei lavori autorevoli sulla vulnerabilità, Forced Authentication, NTLM, Zeek e controlli firewall |
docs/research-methodology.md | Topologia, variabili, controlli, procedure, fonti di evidenza e limiti di validità |
docs/live-validation-2026-09-11.md | Osservazioni esatte della validazione live e stato finale del laboratorio |
evidence/validation-20260911/ | PCAP, log, manifest di integrità e riepilogo di verifica leggibile dalla macchina |
scripts/verify_validation_evidence.py | Controlli automatici di coerenza delle evidenze in sola lettura |
Gli obiettivi principali di questo progetto sono:
Il laboratorio contiene tre macchine virtuali.
| Sistema | Ruolo | Indirizzo |
|---|---|---|
| Windows-Victim | Endpoint Windows protetto | 10.10.20.10/24 |
| Ubuntu-Sensor | Router e sensore di sicurezza Zeek | 10.10.20.1/24, 10.10.30.1/24 |
| Kali-Adversary | Destinazione SMB controllata | 10.10.30.10/24 |
Percorso logico del traffico:
Windows-Victim
10.10.20.10
|
| VICTIM_NET
|
Ubuntu-Sensor
10.10.20.1 / 10.10.30.1
|
| ATTACK_NET
|
Kali-Adversary
10.10.30.10
Le reti della vittima e dell'avversario sono isolate l'una dall'altra.
Il traffico tra di esse deve attraversare Ubuntu-Sensor, consentendo al sensore di osservare e controllare la comunicazione.
Una rete di gestione VMware separata viene utilizzata per l'accesso SSH amministrativo a Ubuntu-Sensor.
Ulteriori informazioni:
lab/network-plan.md
CVE-2023-23397 è associata a un comportamento di autenticazione in uscita forzata che coinvolge Microsoft Outlook.
Il comportamento rilevante per la sicurezza è un sistema Windows che tenta di autenticarsi a una risorsa di rete controllata dall'attaccante.
Questo laboratorio si concentra sul comportamento di rete osservabile:
Windows endpoint
-> outbound TCP/445
-> SMB negotiation
-> NTLM authentication
-> network detection
Il laboratorio non afferma che ogni evento SMB generato rappresenti lo sfruttamento della vulnerabilità di Outlook.
Al contrario, il traffico SMB e NTLM controllato viene utilizzato per sviluppare e validare in modo sicuro la logica di rilevamento difensiva.
Analisi dettagliata:
docs/attack-flow.md
Tecnica principale:
T1187 - Forced Authentication
Tattica principale:
Credential Access
Il progetto si concentra sul rilevamento e sulla prevenzione dell'autenticazione in uscita sospetta da una workstation protetta verso una destinazione non attendibile.
La prima fase ha stabilito una comunicazione instradata normale tra la vittima Windows e l'avversario controllato.
Le catture di pacchetti di baseline e i log delle connessioni Zeek sono stati raccolti prima dell'introduzione della logica di rilevamento.
Ciò ha fornito un punto di riferimento per il confronto successivo.
Analisi:
docs/baseline-traffic-analysis.md
Un server SMB controllato è stato ospitato su Kali-Adversary.
Windows-Victim ha effettuato con successo l'accesso a:
\\10.10.30.10\SHARE
Zeek ha analizzato con successo:
La baseline ha dimostrato che il sensore era in grado di osservare l'intero percorso di autenticazione prima dell'introduzione della logica di rilevamento personalizzata.
Analisi:
docs/smb-baseline-analysis.md
È stato sviluppato un rilevatore Zeek personalizzato:
detections/zeek/cve_2023_23397_ntlm.zeek
Il rilevatore genera:
CVE23397::Suspicious_Outbound_NTLM
La regola valuta quattro condizioni principali:
Ciò fornisce maggior contesto rispetto all'invio di un avviso solo su TCP/445.
Logica di rilevamento:
Victim network
+
Untrusted destination
+
TCP/445
+
NTLM Authenticate
=
Suspicious outbound NTLM notice
Per ridurre le notifiche duplicate relative a tentativi di autenticazione ripetuti verso la stessa destinazione viene utilizzato un intervallo di soppressione di cinque minuti.
Il rilevatore personalizzato è stato validato con successo utilizzando traffico SMB e NTLM controllato.
L'evento validato ha dimostrato la correlazione tra:
Un avviso validato includeva:
CVE23397::Suspicious_Outbound_NTLM
L'analisi del rilevamento e le prove verificate tramite integrità sono documentate in:
docs/ntlm-detection-analysis.md
La prima mitigazione è stata applicata su Ubuntu-Sensor.
Il gateway ha bloccato il traffico TCP/445 inoltrato da: