zhoucc-cpu/cve-2023-23397-detection-labCVE-2023-23397 탐지 및 완화 연구 랩으로, 네트워크 및 엔드포인트 보안 텔레메트리를 활용합니다.
이 프로젝트는 CVE-2023-23397과 관련된 네트워크 동작에 초점을 맞춘 방어적 사이버보안 연구 실험실입니다.
이 프로젝트는 Windows 엔드포인트에서 발생하는 의심스러운 아웃바운드 SMB 및 NTLM 인증을 연구하고 완전한 방어 워크플로를 시연합니다:
기준선
-> 네트워크 관찰
-> NTLM 탐지
-> 경보 생성
-> 게이트웨이 완화
-> 호스트 완화
-> 검증
이 실험실은 완전히 격리되어 있으며, 승인된 보안 테스트를 위해 소유 및 통제되는 시스템만 사용합니다.
이 저장소는 익스플로잇 시연이 아니라 재현 가능한 방어적 보안 연구로 구성되어 있습니다. 핵심 연구 질문은 다음과 같습니다:
SMB/NTLM 프로토콜 의미론과 네트워크 신뢰 경계가 CVE-2023-23397과 관련된 비정상적인 아웃바운드 인증 동작을 탐지할 수 있는가, 그리고 호스트 측과 게이트웨이 측 완화는 차단 동작과 센서 가시성에서 어떻게 다른가?
이 연구는 네 가지 질문을 평가합니다:
이 프로젝트는 CVE-2023-23397과 관련된 강제 아웃바운드 SMB/NTLM 동작과 그에 대응하는 탐지 및 완화 제어를 검증합니다. 이는 Outlook이 악성 MAPI 메시지를 처리했거나 CVE-2023-23397이 익스플로잇되었음을 입증하지는 않습니다.
| 문서 | 목적 |
|---|---|
report/project-report.md | 질문, 설계, 결과, 논의 및 한계를 포함한 주요 연구 보고서 |
docs/literature-review.md | 취약점, 강제 인증(Forced Authentication), NTLM, Zeek 및 방화벽 제어에 관한 권위 있는 연구 검토 |
docs/research-methodology.md | 토폴로지, 변수, 제어, 절차, 증거 출처 및 타당성 경계 |
docs/live-validation-2026-09-11.md | 정확한 라이브 검증 관찰 결과 및 최종 실험실 상태 |
evidence/validation-20260911/ | PCAP, 로그, 무결성 매니페스트 및 기계 판독 가능한 검증 요약 |
scripts/verify_validation_evidence.py | 읽기 전용 자동 증거 일관성 검사 |
이 프로젝트의 주요 목표는 다음과 같습니다:
실험실은 세 개의 가상 머신을 포함합니다.
| 시스템 | 역할 | 주소 |
|---|---|---|
| Windows-Victim | 보호된 Windows 엔드포인트 | 10.10.20.10/24 |
| Ubuntu-Sensor | 라우터 및 Zeek 보안 센서 | 10.10.20.1/24, 10.10.30.1/24 |
| Kali-Adversary | 통제된 SMB 목적지 | 10.10.30.10/24 |
논리적 트래픽 경로:
Windows-Victim
10.10.20.10
|
| VICTIM_NET
|
Ubuntu-Sensor
10.10.20.1 / 10.10.30.1
|
| ATTACK_NET
|
Kali-Adversary
10.10.30.10
피해자 네트워크와 공격자 네트워크는 서로 격리되어 있습니다.
두 네트워크 간의 트래픽은 Ubuntu-Sensor를 통과해야 하며, 이를 통해 센서가 통신을 관찰하고 제어할 수 있습니다.
Ubuntu-Sensor에 대한 관리용 SSH 접속에는 별도의 VMware 관리 네트워크가 사용됩니다.
추가 정보:
lab/network-plan.md
CVE-2023-23397은 Microsoft Outlook과 관련된 강제 아웃바운드 인증 동작과 연관되어 있습니다.
보안과 관련된 동작은 Windows 시스템이 공격자가 제어하는 네트워크 리소스에 인증을 시도하는 것입니다.
이 실습은 관찰 가능한 네트워크 동작에 초점을 맞춥니다:
Windows endpoint
-> outbound TCP/445
-> SMB negotiation
-> NTLM authentication
-> network detection
실험실은 생성된 모든 SMB 이벤트가 Outlook 취약점의 익스플로잇을 나타낸다고 주장하지 않습니다.
대신, 통제된 SMB 및 NTLM 트래픽을 사용하여 방어 탐지 로직을 안전하게 개발하고 검증합니다.
상세 분석:
docs/attack-flow.md
주요 기법:
T1187 - 강제 인증(Forced Authentication)
주요 전술:
자격 증명 접근(Credential Access)
이 프로젝트는 보호된 워크스테이션에서 신뢰할 수 없는 목적지로 향하는 의심스러운 아웃바운드 인증을 탐지하고 방지하는 데 중점을 둡니다.
첫 번째 단계에서는 Windows 희생자와 통제된 공격자 간의 정상적인 라우팅 통신을 확립했습니다.
탐지 로직이 도입되기 전에 기준 패킷 캡처와 Zeek 연결 로그를 수집했습니다.
이는 이후 비교를 위한 참조 지점을 제공했습니다.
분석:
docs/baseline-traffic-analysis.md
Kali-Adversary에서 통제된 SMB 서버를 호스팅했습니다.
Windows-Victim이 성공적으로 접근한 대상:
\\10.10.30.10\SHARE
Zeek이 성공적으로 파싱한 항목:
베이스라인은 사용자 정의 탐지 로직이 도입되기 전에 센서가 전체 인증 경로를 관찰할 수 있음을 입증했습니다.
분석:
docs/smb-baseline-analysis.md
사용자 정의 Zeek 탐지기가 개발되었습니다:
detections/zeek/cve_2023_23397_ntlm.zeek
탐지기는 다음을 생성합니다:
CVE23397::Suspicious_Outbound_NTLM
규칙은 네 가지 주요 조건을 평가합니다:
이는 TCP/445 단독으로 경보를 발생시키는 것보다 더 많은 컨텍스트를 제공합니다.
탐지 로직:
Victim network
+
Untrusted destination
+
TCP/445
+
NTLM Authenticate
=
Suspicious outbound NTLM notice
동일한 대상에 대한 반복 인증으로 인한 중복 알림을 줄이기 위해 5분간의 억제 간격이 사용됩니다.
사용자 정의 탐지기는 제어된 SMB 및 NTLM 트래픽을 사용하여 성공적으로 검증되었습니다.
검증된 이벤트는 다음 항목 간의 상관관계를 입증했습니다:
검증된 경고에는 다음이 포함되었습니다:
CVE23397::Suspicious_Outbound_NTLM
탐지 분석과 무결성 검증된 증거는 다음에 문서화되어 있습니다:
docs/ntlm-detection-analysis.md
첫 번째 완화 조치는 Ubuntu-Sensor에 적용되었습니다.
게이트웨이는 다음으로부터 전달되는 TCP/445 트래픽을 차단했습니다:
10.10.20.10
:
to:
10.10.30.10:445
규칙이 활성화된 후:
Windows SYN
-> Ubuntu Sensor
-> DROP
관찰된 결과:
검증:
docs/mitigation-validation.md
Windows Defender 방화벽을 사용하여 두 번째 완화 조치를 테스트했습니다.
엔드포인트가 아웃바운드를 차단했습니다:
TCP/445 -> 10.10.30.10
관찰된 결과:
이는 두 방어 제어 지점 간의 중요한 차이를 보여주었다.
Windows
-> SYN
-> Network Sensor
-> DROP
네트워크 센서는 차단된 시도에 대한 가시성을 유지합니다.
Windows
-> Host Firewall DROP
패킷은 외부 네트워크 센서에 도달하지 않습니다.
검증:
docs/windows-host-mitigation-validation.md
| 상태 | TCP/445 | 센서 가시성 | SMB | NTLM | Zeek 경고 |
|---|---|---|---|---|---|
| 완화 없음 | 허용됨 | 전체 | 예 | 예 | 예 |
| 게이트웨이 차단 | 게이트웨이에서 차단됨 | SYN 시도 가시적 | 아니요 | 아니요 | 아니요 |
| Windows 호스트 차단 | 엔드포인트에서 차단됨 | 일치하는 패킷 없음 | 아니요 | 아니요 | 아니요 |
이는 탐지 및 예방 제어 모두를 보여줍니다.
이 실험실은 탐지와 예방을 함께 사용해야 함을 보여줍니다.
방어 모델에는 다음이 포함됩니다:
Endpoint filtering
+
Network egress filtering
+
Zeek network monitoring
+
NTLM authentication monitoring
+
Patch management
게이트웨이 제어는 중앙 집중식 시행과 네트워크 가시성을 제공합니다.
호스트 제어는 원치 않는 통신을 더 이른 단계에서 차단합니다.
Zeek는 의심스러운 인증이 모니터링되는 네트워크 경로에 도달할 때 가시성을 제공합니다.
저장소는 실험 중 수집된 증거를 보존합니다.
다음 위치에 저장됩니다:
evidence/pcap/
예시는 다음과 같습니다:
다음 위치에 저장됩니다:
evidence/logs/
증거는 다음을 포함합니다:
SHA-256 해시는 증거 무결성을 지원하기 위해 해당 분석 문서에 기록됩니다.
cve-2023-23397-detection-lab/
|
|-- README.md
|-- LICENSE
|
|-- lab/
| `-- network-plan.md
|
|-- detections/
| `-- zeek/
| `-- cve_2023_23397_ntlm.zeek
|
|-- docs/
| |-- attack-flow.md
| |-- threat-model.md
| |-- literature-review.md
| |-- research-methodology.md
| |-- baseline-traffic-analysis.md
| |-- smb-baseline-analysis.md
| |-- ntlm-detection-analysis.md
| |-- mitigation-analysis.md
| |-- mitigation-validation.md
| |-- windows-host-mitigation-validation.md
| `-- live-validation-2026-09-11.md
|
|-- evidence/
|-- pcap/
|-- logs/
|-- screenshots/
`-- validation-20260911/
|
|-- report/
| `-- project-report.md
|
`-- scripts/
`-- verify_validation_evidence.py
현재 프로젝트는 다음을 성공적으로 완료했습니다:
Lab Architecture
|
v
Routed Network Validation
|
v
Baseline PCAP
|
v
SMB / NTLM Baseline
|
v
Custom Zeek Detection
|
v
Detection Alert Validation
|
v
Gateway TCP/445 Mitigation
|
v
Gateway Post-Mitigation Validation
|
v
Windows Host TCP/445 Mitigation
|
v
Host Post-Mitigation Validation
현재 구현에서 검증된 도구는 다음과 같습니다:
잠재적인 향후 개선 사항은 다음과 같습니다: