Microsoft Windows Secondary Logon 서비스 로컬 권한 상승 취약점 (CVE-2016-0099, MS16-032)

# Windows Update 에이전트를 통한 누적 업데이트 확인 및 설치
Install-Module PSWindowsUpdate -Force -Verbose
Get-WindowsUpdate -KBArticleID KB3143141 -Install -AcceptAll -AutoReboot

# Secondary Logon 서비스 중지 및 시작 유형을 '사용 안 함'으로 변경
Stop-Service -Name 'seclogon' -Force
Set-Service -Name 'seclogon' -StartupType Disabled

# 서비스 상태가 정상적으로 변경되었는지 확인
Get-Service -Name 'seclogon' | Select-Object Name, Status, StartType

# Secondary Logon 서비스 활성화 여부 점검
$service = Get-Service -Name 'seclogon' -ErrorAction SilentlyContinue
if ($service) {
    Write-Host 'Service Status:' $service.Status
    Write-Host 'Startup Type:' $service.StartType
    if ($service.StartType -ne 'Disabled') {
        Write-Warning 'WARNING: Secondary Logon service is enabled. System may be vulnerable if unpatched.'
    }
} else {
    Write-Host 'Secondary Logon service is not installed.'
}

# 이벤트 뷰어에서 SYSTEM 권한으로 비정상 실행된 프로세스 흔적 감사 (Event ID 4688)
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4688} -ErrorAction SilentlyContinue | 
    Where-Object {$_.Message -like '*seclogon*' -or $_.Message -like '*lsass*'} | 
    Select-Object TimeCreated, Id, Message -First 10 | Format-List