Windows Error Reporting(WER) 파일 처리 권한 상승 취약점 (CVE-2019-0863) 분석 및 대응 가이드

# CVE-2019-0863 관련 패치 적용 여부 확인 (예시: Windows 10 1809 기준 KB4494441 등)
Get-HotFix | Where-Object { $_.HotFixID -match 'KB4494441|KB4495667|KB4497934' }

# Windows Update 모듈 설치 및 업데이트 확인/설치
Install-Module PSWindowsUpdate -Force -SkipPublisherCheck
Get-WindowsUpdate -AcceptAll -Install -AutoReboot

# Windows 오류 보고(WER) 서비스 비활성화
Stop-Service -Name 'WerSvc' -Force
Set-Service -Name 'WerSvc' -StartupType Disabled

# 레지스트리를 통한 WER 비활성화 설정
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows' -Name 'Windows Error Reporting' -Force
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\Windows Error Reporting' -Name 'Disabled' -Value 1 -PropertyType DWord -Force

# WER Temp 디렉터리 내에 생성된 비정상적인 링크 파일 및 쓰기 행위 감사
$WerPath = 'C:\ProgramData\Microsoft\Windows\WER\Temp'
if (Test-Path $WerPath) {
    Get-ChildItem -Path $WerPath -Recurse -ErrorAction SilentlyContinue | 
    Select-Object FullName, CreationTime, LastWriteTime | 
    Format-Table -AutoSize
}

# 이벤트 로그(Security Log)에서 권한 상승 시도 관련 이벤트(ID 4663 - 개체 액세스 시도) 필터링
Get-WinEvent -FilterHashtable @{
    LogName='Security';
    Id=4663;
    StartTime=(Get-Date).AddDays(-7)
} -ErrorAction SilentlyContinue | 
Where-Object { $_.Message -like '*\Windows\WER\*' } | 
Select-Object TimeCreated, Id, Message | Out-String