zhoucc-cpu/cve-2023-23397-detection-labLaboratório de pesquisa de detecção e mitigação para CVE-2023-23397 usando telemetria de segurança de rede e endpoint.
Este projeto é um laboratório de pesquisa em cibersegurança defensiva focado no comportamento de rede associado à CVE-2023-23397.
O projeto estuda a autenticação SMB e NTLM de saída suspeita a partir de um endpoint Windows e demonstra um fluxo de trabalho defensivo completo:
Linha de base -> Observação de Rede -> Detecção de NTLM -> Geração de Alertas -> Mitigação no Gateway -> Mitigação no Host -> Validação
O laboratório é totalmente isolado e utiliza apenas sistemas próprios e controlados para testes de segurança autorizados.
Este repositório está organizado como um estudo reproduzível de segurança defensiva, e não como uma demonstração de exploit. Sua questão central de pesquisa é:
A semântica dos protocolos SMB/NTLM e as fronteiras de confiança da rede podem detectar comportamento anômalo de autenticação de saída associado à CVE-2023-23397, e como as mitigações no lado do host e no lado do gateway diferem em comportamento de bloqueio e visibilidade dos sensores?
O estudo avalia quatro questões:
O projeto valida o comportamento forçado de SMB/NTLM de saída associado à CVE-2023-23397 e os controles correspondentes de detecção e mitigação. Ele não prova que o Outlook processou uma mensagem MAPI maliciosa nem que a CVE-2023-23397 foi explorada.
| Documento | Finalidade |
|---|---|
report/project-report.md | Relatório principal de pesquisa com questões, design, resultados, discussão e limitações |
docs/literature-review.md | Revisão de trabalhos autoritativos sobre a vulnerabilidade, Forced Authentication, NTLM, Zeek e controles de firewall |
docs/research-methodology.md | Topologia, variáveis, controles, procedimentos, fontes de evidência e limites de validade |
docs/live-validation-2026-09-11.md | Observações exatas da validação ao vivo e estado final do laboratório |
evidence/validation-20260911/ | PCAPs, logs, manifesto de integridade e resumo de verificação legível por máquina |
scripts/verify_validation_evidence.py | Verificações automatizadas somente leitura de consistência das evidências |
Os principais objetivos deste projeto são:
O laboratório contém três máquinas virtuais.
| Sistema | Função | Endereço |
|---|---|---|
| Windows-Victim | Endpoint Windows protegido | 10.10.20.10/24 |
| Ubuntu-Sensor | Roteador e sensor de segurança Zeek | 10.10.20.1/24, 10.10.30.1/24 |
| Kali-Adversary | Destino SMB controlado | 10.10.30.10/24 |
Caminho lógico do tráfego:
Windows-Victim
10.10.20.10
|
| VICTIM_NET
|
Ubuntu-Sensor
10.10.20.1 / 10.10.30.1
|
| ATTACK_NET
|
Kali-Adversary
10.10.30.10
As redes da vítima e do adversário estão isoladas entre si.
O tráfego entre elas deve atravessar o Ubuntu-Sensor, permitindo que o sensor observe e controle a comunicação.
Uma rede de gerenciamento VMware separada é usada para acesso administrativo via SSH ao Ubuntu-Sensor.
Mais informações:
lab/network-plan.md
A CVE-2023-23397 está associada a um comportamento de autenticação de saída forçada envolvendo o Microsoft Outlook.
O comportamento relevante para a segurança é um sistema Windows tentando autenticar-se em um recurso de rede controlado pelo atacante.
Este laboratório concentra-se no comportamento de rede observável:
Windows endpoint
-> outbound TCP/445
-> SMB negotiation
-> NTLM authentication
-> network detection
O laboratório não afirma que cada evento SMB gerado representa a exploração da vulnerabilidade do Outlook.
Em vez disso, tráfego SMB e NTLM controlado é utilizado para desenvolver e validar com segurança a lógica de detecção defensiva.
Análise detalhada:
docs/attack-flow.md
Técnica principal:
T1187 - Forced Authentication
Tática principal:
Credential Access
O projeto concentra-se em detectar e prevenir autenticação de saída suspeita a partir de uma estação de trabalho protegida em direção a um destino não confiável.
A primeira fase estabeleceu comunicação roteada normal entre a vítima Windows e o adversário controlado.
Capturas de pacotes de linha de base e logs de conexão do Zeek foram coletados antes da introdução da lógica de detecção.
Isso forneceu um ponto de referência para comparação posterior.
Análise:
docs/baseline-traffic-analysis.md
Um servidor SMB controlado foi hospedado no Kali-Adversary.
O Windows-Victim acessou com sucesso:
\\10.10.30.10\SHARE
Zeek analisou com sucesso:
A linha de base demonstrou que o sensor conseguia observar o caminho completo de autenticação antes da introdução da lógica de detecção personalizada.
Análise:
docs/smb-baseline-analysis.md
Foi desenvolvido um detector Zeek personalizado:
detections/zeek/cve_2023_23397_ntlm.zeek
O detector gera:
CVE23397::Suspicious_Outbound_NTLM
A regra avalia quatro condições principais:
Isso fornece mais contexto do que alertar apenas sobre TCP/445.
Lógica de detecção:
Victim network
+
Untrusted destination
+
TCP/445
+
NTLM Authenticate
=
Suspicious outbound NTLM notice
Um intervalo de supressão de cinco minutos é utilizado para reduzir notificações duplicadas de autenticação repetida para o mesmo destino.
O detector personalizado foi validado com sucesso utilizando tráfego SMB e NTLM controlado.
O evento validado demonstrou correlação entre:
Um alerta validado incluía:
CVE23397::Suspicious_Outbound_NTLM
A análise de deteção e as evidências com integridade verificada estão documentadas em:
docs/ntlm-detection-analysis.md
A primeira mitigação foi aplicada no Ubuntu-Sensor.
O gateway bloqueou o tráfego TCP/445 encaminhado proveniente de:
10.10.20.10
para:
10.10.30.10:445
Depois que a regra foi habilitada:
Windows SYN
-> Ubuntu Sensor
-> DROP
Resultado observado: