Microsoft Exchange Server 원격 코드 실행(RCE) 취약점 분석 및 대응 가이드 (CVE-2020-17144)

# Exchange Server 버전 및 빌드 번호 확인
Get-ExchangeServer | Format-List Name, Edition, AdminDisplayVersion

# 최신 보안 업데이트 설치 후 IIS 및 Exchange 서비스 재시작
Restart-Service W3SVC, MSExchangeIS

<!-- IIS web.config에 외부 접근 차단 규칙 추가 예시 -->
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name='Block External ECP' stopProcessing='true'>
          <match url='^ecp/.*' />
          <conditions>
            <add input='{REMOTE_ADDR}' pattern='^192\.168\.' negate='true' />
          </conditions>
          <action type='CustomResponse' statusCode='403' statusReason='Forbidden' statusDescription='Access Denied' />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

# IIS 로그에서 EWS 및 ECP 요청 중 비정상적인 POST 요청 분석
Select-String -Path 'C:\inetpub\logs\LogFiles\W3SVC1\*.log' -Pattern 'POST /ews/' | Select-Object -First 50

# w3wp.exe가 실행한 비정상적인 자식 프로세스 모니터링
Get-CimInstance Win32_Process | Where-Object { $_.ParentProcessId -in (Get-Process w3wp).Id } | Select-Object ProcessId, Name, CommandLine