Microsoft SharePoint 원격 코드 실행(RCE) 취약점 (CVE-2019-0604) 분석 및 대응 가이드

# SharePoint 팜 버전 확인
Get-SPFarm | Select-Object BuildVersion

# 보안 패치 설치 후 SharePoint 제품 구성 마법사 실행 (필수)
PS C:\> cd 'C:\Program Files\Common Files\microsoft shared\Web Server Extensions\16\BIN'
PS C:\Program Files\Common Files\microsoft shared\Web Server Extensions\16\BIN> .\PSConfig.exe -cmd upgrade -inplace b2b -force -cmd applicationcontent -install -cmd installfeatures

<!-- IIS web.config에 URL 재작성 규칙을 추가하여 Picker.aspx 접근 차단 예시 -->
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name='Block Picker Access' stopProcessing='true'>
          <match url='.*Picker\.aspx' />
          <conditions>
            <add input='{REMOTE_ADDR}' pattern='^192\.168\.' negate='true' />
          </conditions>
          <action type='CustomResponse' statusCode='403' statusReason='Forbidden' statusDescription='Access Denied' />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

# IIS 로그에서 Picker.aspx를 대상으로 한 비정상적인 POST 요청 검색
Get-ChildItem -Path 'C:\inetpub\logs\LogFiles\' -Recurse -Filter '*.log' |
    Select-String -Pattern 'POST /_layouts/15/Picker.aspx' |
    Select-Object -First 50

# w3wp.exe가 cmd.exe 또는 powershell.exe를 생성했는지 이벤트 로그(ID 4688) 확인
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4688} |
    Where-Object {$_.Message -like '*w3wp.exe*' -and ($_.Message -like '*cmd.exe*' -or $_.Message -like '*powershell.exe*')}