Лаборатория исследования обнаружения и смягчения последствий CVE-2023-23397

Обзор

Этот проект представляет собой лабораторию защитных кибербезопасностных исследований, сосредоточенную на сетевом поведении, связанном с CVE-2023-23397.

Проект изучает подозрительную исходящую аутентификацию SMB и NTLM с конечной точки Windows и демонстрирует полный защитный рабочий процесс:

Базовая линия
-> Сетевое наблюдение
-> Обнаружение NTLM
-> Генерация оповещений
-> Смягчение на шлюзе
-> Смягчение на хосте
-> Валидация

Лаборатория полностью изолирована и использует только системы, принадлежащие и контролируемые для авторизованного тестирования безопасности.

Постановка исследования

Этот репозиторий организован как воспроизводимое защитное исследование безопасности, а не как демонстрация эксплойта. Его центральный исследовательский вопрос:

Могут ли семантика протокола SMB/NTLM и границы сетевого доверия обнаруживать аномальное исходящее поведение аутентификации, связанное с CVE-2023-23397, и чем отличаются меры смягчения на стороне хоста и на стороне шлюза по блокирующему поведению и видимости датчиков?

Исследование оценивает четыре вопроса:

различает ли разобранное событие NTLM Authenticate аутентификацию от соединения только по TCP/445;
исключают ли ограничения подсетей жертвы и недоверенной подсети аутентификацию вне области охвата;
как фильтрация на хосте Windows и фильтрация на шлюзе Ubuntu изменяют сетевую видимость;
можно ли надёжно сопоставить доказательства пакетов, протокола, уведомлений, межсетевого экрана и отката.

Проект валидирует принудительное исходящее поведение SMB/NTLM, связанное с CVE-2023-23397, и соответствующие средства обнаружения и смягчения. Он не доказывает, что Outlook обработал вредоносное сообщение MAPI, или что CVE-2023-23397 была эксплуатирована.

Исследовательские документы

Документ	Назначение
`report/project-report.md`	Основной исследовательский отчёт с вопросами, дизайном, результатами, обсуждением и ограничениями
`docs/literature-review.md`	Обзор авторитетных работ по уязвимости, Forced Authentication, NTLM, Zeek и средствам управления межсетевым экраном
`docs/research-methodology.md`	Топология, переменные, средства управления, процедуры, источники доказательств и границы валидности
`docs/live-validation-2026-09-11.md`	Точные наблюдения живой валидации и итоговое состояние лаборатории
`evidence/validation-20260911/`	PCAP-файлы, журналы, манифест целостности и машиночитаемая сводка проверки
`scripts/verify_validation_evidence.py`	Автоматические проверки согласованности доказательств только для чтения

Цели проекта

Основные цели этого проекта:

Построить изолированную многосетевую лабораторию кибербезопасности.
Наблюдать нормальное поведение аутентификации SMB и NTLM.
Захватывать и сохранять сетевые доказательства.
Разработать пользовательское обнаружение Zeek для подозрительной исходящей аутентификации NTLM.
Валидировать обнаружение с использованием контролируемого трафика.
Протестировать смягчение SMB на стороне шлюза.
Протестировать смягчение SMB на стороне хоста Windows.
Сравнить поведение до и после смягчения.
Сопоставить наблюдаемое поведение безопасности с MITRE ATT&CK.
Получить воспроизводимые доказательства, пригодные для защитных исследований безопасности.

Архитектура лаборатории

Лаборатория содержит три виртуальные машины.

Система	Роль	Адрес
Windows-Victim	Защищённая конечная точка Windows	`10.10.20.10/24`
Ubuntu-Sensor	Маршрутизатор и датчик безопасности Zeek	`10.10.20.1/24`, `10.10.30.1/24`
Kali-Adversary	Контролируемый пункт назначения SMB	`10.10.30.10/24`

Логический путь трафика:

Windows-Victim
10.10.20.10
      |
      | VICTIM_NET
      |
Ubuntu-Sensor
10.10.20.1 / 10.10.30.1
      |
      | ATTACK_NET
      |
Kali-Adversary
10.10.30.10

Сети жертвы и злоумышленника изолированы друг от друга.

Трафик между ними должен проходить через Ubuntu-Sensor, что позволяет сенсору наблюдать за коммуникацией и контролировать её.

Отдельная сеть управления VMware используется для административного SSH-доступа к Ubuntu-Sensor.

Дополнительная информация:

lab/network-plan.md

Сценарий угрозы

CVE-2023-23397 связана с поведением принудительной исходящей аутентификации, затрагивающим Microsoft Outlook.

Связанное с безопасностью поведение — это попытка системы Windows пройти аутентификацию на сетевом ресурсе, контролируемом злоумышленником.

Данная лабораторная работа сосредоточена на наблюдаемом сетевом поведении:

Windows endpoint
-> outbound TCP/445
-> SMB negotiation
-> NTLM authentication
-> network detection

Лаборатория не утверждает, что каждое сгенерированное событие SMB представляет собой эксплуатацию уязвимости Outlook.

Вместо этого контролируемый трафик SMB и NTLM используется для безопасной разработки и проверки логики защитного обнаружения.

Подробный анализ:

docs/attack-flow.md

Сопоставление с MITRE ATT&CK

Основная техника:

T1187 - Forced Authentication

Основная тактика:

Credential Access

Проект сосредоточен на обнаружении и предотвращении подозрительной исходящей аутентификации с защищённой рабочей станции в сторону недоверенного назначения.

Анализ базового трафика

На первом этапе было установлено нормальное маршрутизируемое взаимодействие между Windows-жертвой и контролируемым противником.

Захваты базового трафика и журналы соединений Zeek были собраны до внедрения логики обнаружения.

Это обеспечило точку отсчёта для последующего сравнения.

Анализ:

docs/baseline-traffic-analysis.md

Базовый уровень SMB и NTLM

На Kali-Adversary был размещён контролируемый SMB-сервер.

Windows-Victim успешно получил доступ к:

\\10.10.30.10\SHARE

Zeek успешно выполнил разбор:

TCP/445-соединения
SMB
NTLM
сопоставлений общих ресурсов SMB
файловой активности SMB
успешной аутентификации NTLM

Базовый замер показал, что сенсор способен наблюдать полный путь аутентификации ещё до внедрения пользовательской логики обнаружения.

Анализ:

docs/smb-baseline-analysis.md

Пользовательское обнаружение в Zeek

Был разработан пользовательский детектор Zeek:

detections/zeek/cve_2023_23397_ntlm.zeek

Детектор генерирует:

CVE23397::Suspicious_Outbound_NTLM

Правило проверяет четыре основных условия:

Источник принадлежит защищённой сети жертвы.
Назначение принадлежит контролируемой недоверенной сети.
Порт назначения — TCP/445.
Zeek фиксирует событие NTLM Authenticate.

Это даёт больше контекста, чем оповещение только по TCP/445.

Логика обнаружения:

Victim network
+
Untrusted destination
+
TCP/445
+
NTLM Authenticate
=
Suspicious outbound NTLM notice

Для снижения количества повторяющихся уведомлений о повторных попытках аутентификации к одному и тому же назначению используется пятиминутный интервал подавления.

Проверка обнаружения

Пользовательский детектор был успешно проверен с использованием контролируемого трафика SMB и NTLM.

Проверенное событие продемонстрировало корреляцию между:

телеметрией TCP-соединений
обменом данными по SMB
аутентификацией NTLM
UID соединения Zeek
пользовательским оповещением Notice Framework

Проверенное оповещение включало:

CVE23397::Suspicious_Outbound_NTLM

Анализ обнаружения и доказательства с проверенной целостностью задокументированы в:

docs/ntlm-detection-analysis.md

Меры защиты на шлюзе

Первая мера защиты была применена на Ubuntu-Sensor.

Шлюз заблокировал перенаправленный трафик TCP/445 от:

10.10.20.10

к:

10.10.30.10:445

После включения правила:

Windows SYN
-> Ubuntu Sensor
-> DROP

Наблюдаемый результат:

cve-2023-23397-detection-lab

Популярное