zhoucc-cpu/cve-2023-23397-detection-labCVE-2023-23397の検出および緩和のための研究ラボ。ネットワークおよびエンドポイントのセキュリティテレメトリを使用します。
本プロジェクトは、CVE-2023-23397 に関連するネットワーク挙動に焦点を当てた防御的サイバーセキュリティ研究ラボです。
本プロジェクトでは、Windows エンドポイントからの不審な外向き SMB および NTLM 認証を研究し、完全な防御ワークフローを実演します:
ベースライン
-> ネットワーク観測
-> NTLM 検出
-> アラート生成
-> ゲートウェイ緩和
-> ホスト緩和
-> 検証
本ラボは完全に分離されており、許可されたセキュリティテストのために所有・管理するシステムのみを使用します。
本リポジトリは、エクスプロイトの実演ではなく、再現可能な防御的セキュリティ研究として構成されています。中心となる研究課題は次のとおりです:
SMB/NTLM プロトコルのセマンティクスとネットワーク信頼境界は、CVE-2023-23397 に関連する異常な外向き認証挙動を検出できるか、またホスト側とゲートウェイ側の緩和策は、ブロック挙動とセンサー可視性においてどのように異なるか？
本研究では次の4つの問いを評価します:
本プロジェクトは、CVE-2023-23397 に関連する強制的な外向き SMB/NTLM 挙動と、対応する検出・緩和制御を検証します。Outlook が悪意のある MAPI メッセージを処理したこと、または CVE-2023-23397 が悪用されたことを証明するものではありません。
| ドキュメント | 目的 |
|---|---|
report/project-report.md | 問い、設計、結果、考察、限界を含む主要研究レポート |
docs/literature-review.md | 脆弱性、強制認証、NTLM、Zeek、ファイアウォール制御に関する権威ある文献のレビュー |
docs/research-methodology.md | トポロジ、変数、制御、手順、証拠ソース、妥当性の境界 |
docs/live-validation-2026-09-11.md | 実際のライブ検証の観測結果と最終的なラボ状態 |
evidence/validation-20260911/ | PCAP、ログ、整合性マニフェスト、機械可読な検証サマリー |
scripts/verify_validation_evidence.py | 読み取り専用の自動証拠整合性チェック |
本プロジェクトの主な目標は次のとおりです:
本ラボには3台の仮想マシンが含まれます。
| システム | 役割 | アドレス |
|---|---|---|
| Windows-Victim | 保護対象の Windows エンドポイント | 10.10.20.10/24 |
| Ubuntu-Sensor | ルーターおよび Zeek セキュリティセンサー | 10.10.20.1/24, 10.10.30.1/24 |
| Kali-Adversary | 制御された SMB 宛先 | 10.10.30.10/24 |
論理的なトラフィック経路:
Windows-Victim
10.10.20.10
|
| VICTIM_NET
|
Ubuntu-Sensor
10.10.20.1 / 10.10.30.1
|
| ATTACK_NET
|
Kali-Adversary
10.10.30.10
被害者ネットワークと攻撃者ネットワークは互いに分離されています。
両者間のトラフィックはUbuntu-Sensorを経由する必要があり、これによりセンサーは通信を観察および制御できます。
Ubuntu-Sensorへの管理用SSHアクセスには、別個のVMware管理ネットワークが使用されます。
詳細情報:
lab/network-plan.md
CVE-2023-23397は、Microsoft Outlookに関連する強制的な外向き認証動作に関係しています。
セキュリティ上重要な動作は、Windowsシステムが攻撃者の制御下にあるネットワークリソースへの認証を試みることです。
このラボは、観察可能なネットワーク動作に焦点を当てています:
Windows endpoint
-> outbound TCP/445
-> SMB negotiation
-> NTLM authentication
-> network detection
ラボは、生成されたすべてのSMBイベントがOutlookの脆弱性の悪用を表していると主張しているわけではありません。
代わりに、制御されたSMBおよびNTLMトラフィックを使用して、防御的な検知ロジックを安全に開発・検証しています。
詳細な分析:
docs/attack-flow.md
主要テクニック:
T1187 - Forced Authentication
主要タクティクス:
Credential Access
このプロジェクトは、保護されたワークステーションから信頼できない宛先への疑わしい外向き認証を検知および防止することに焦点を当てています。
最初のフェーズでは、Windows被害者と制御された攻撃者の間の正常なルーティング通信を確立しました。
検知ロジックを導入する前に、ベースラインのパケットキャプチャとZeek接続ログを収集しました。
これにより、後の比較のための基準点が得られました。
分析:
docs/baseline-traffic-analysis.md
Kali-Adversary上で制御されたSMBサーバーをホストしました。
Windows-Victimは以下へのアクセスに成功しました:
\\10.10.30.10\SHARE
Zeek は正常に解析しました：
このベースラインにより、カスタム検知ロジックを導入する前に、センサーが認証パス全体を観測できることが実証されました。
分析：
docs/smb-baseline-analysis.md
カスタム Zeek 検出器を開発しました：
detections/zeek/cve_2023_23397_ntlm.zeek
この検出器は以下を生成します：
CVE23397::Suspicious_Outbound_NTLM
このルールは4つの主要な条件を評価します：
これにより、TCP/445のみでアラートを出すよりも多くのコンテキストが得られます。
検出ロジック：
Victim network
+
Untrusted destination
+
TCP/445
+
NTLM Authenticate
=
Suspicious outbound NTLM notice
同一宛先への繰り返し認証に対する重複通知を減らすため、5分間の抑制間隔が使用されます。
カスタム検出器は、制御されたSMBおよびNTLMトラフィックを使用して正常に検証されました。
検証済みのイベントは、以下間の相関を示しました：
検証済みのアラートには以下が含まれていました：
CVE23397::Suspicious_Outbound_NTLM
検出分析と完全性が検証された証拠は、以下に文書化されています:
docs/ntlm-detection-analysis.md
最初の緩和策は Ubuntu-Sensor 上で適用されました。
ゲートウェイは、以下からの転送された TCP/445 トラフィックをブロックしました:
10.10.20.10
to:
10.10.30.10:445
ルールが有効になった後:
Windows SYN
-> Ubuntu Sensor
-> DROP
観測結果:
検証:
docs/mitigation-validation.md
Windows Defender ファイアウォールを使用した 2 つ目の緩和策をテストした。
エンドポイントはアウトバウンドをブロックした:
TCP/445 -> 10.10.30.10
観測結果:
これは、2つの防御制御ポイント間の重要な違いを示しました。
Windows
-> SYN
-> Network Sensor
-> DROP
ネットワークセンサーは、ブロックされた試行に対する可視性を保持します。
Windows
-> Host Firewall DROP
パケットは外部ネットワークセンサーに到達しません。
検証:
docs/windows-host-mitigation-validation.md
| 状態 | TCP/445 | センサー可視性 | SMB | NTLM | Zeek アラート |
|---|---|---|---|---|---|
| 緩和なし | 許可 | 完全 | あり | あり | あり |
| ゲートウェイブロック | ゲートウェイでブロック | SYN 試行が可視 | なし | なし | なし |
| Windows ホストブロック | エンドポイントでブロック | 一致するパケットなし | なし | なし | なし |
これは検出制御と予防制御の両方を実証しています。
このラボは、検出と予防を併用すべきであることを実証しています。
防御モデルには以下が含まれます:
Endpoint filtering
+
Network egress filtering
+
Zeek network monitoring
+
NTLM authentication monitoring
+
Patch management
ゲートウェイ制御は集中型の強制適用とネットワーク可視性を提供します。
ホスト制御は不要な通信をより早い段階で阻止します。
Zeek は、疑わしい認証が監視対象のネットワーク経路に到達した際に可視性を提供します。
リポジトリには、実験中に収集された証拠が保存されています。
保存場所:
evidence/pcap/
例には以下が含まれます:
保存場所:
evidence/logs/
証拠には以下が含まれます:
SHA-256 ハッシュは、証拠の完全性を裏付けるために、対応する分析ドキュメントに記録されています。
cve-2023-23397-detection-lab/
|
|-- README.md
|-- LICENSE
|
|-- lab/
| `-- network-plan.md
|
|-- detections/
| `-- zeek/
| `-- cve_2023_23397_ntlm.zeek
|
|-- docs/
| |-- attack-flow.md
| |-- threat-model.md
| |-- literature-review.md
| |-- research-methodology.md
| |-- baseline-traffic-analysis.md
| |-- smb-baseline-analysis.md
| |-- ntlm-detection-analysis.md
| |-- mitigation-analysis.md
| |-- mitigation-validation.md
| |-- windows-host-mitigation-validation.md
| `-- live-validation-2026-09-11.md
|
|-- evidence/
|-- pcap/
|-- logs/
|-- screenshots/
`-- validation-20260911/
|
|-- report/
| `-- project-report.md
|
`-- scripts/
`-- verify_validation_evidence.py
現在のプロジェクトは正常に完了しました:
Lab Architecture
|
v
Routed Network Validation
|
v
Baseline PCAP
|
v
SMB / NTLM Baseline
|
v
Custom Zeek Detection
|
v
Detection Alert Validation
|
v
Gateway TCP/445 Mitigation
|
v
Gateway Post-Mitigation Validation
|
v
Windows Host TCP/445 Mitigation
|
v
Host Post-Mitigation Validation
現在の実装で検証済みのツールには以下が含まれます：
今後の改善候補には以下が含まれます：
これらの項目は今後の作業であり、完了済みの機能として提示するものではありません。