Microsoft Exchange Server ProxyShell 원격 코드 실행(RCE) 취약점 (CVE-2021-34473) 분석 및 대응 가이드

# Exchange Server 버전 및 빌드 번호 확인
Get-ExchangeServer | Format-List Name, Edition, AdminDisplayVersion

# 최신 보안 패치 적용 후 IIS 및 Exchange 서비스 재시작
Restart-Service W3SVC, MSExchangeIS -Force

# IIS URL Rewrite 모듈을 사용하여 ProxyShell 공격 패턴 차단 규칙 추가 (PowerShell 실행)
Import-Module WebAdministration
$webConfigPath = 'IIS:\Sites\Default Web Site'
Set-WebConfigurationProperty -Filter 'system.webServer/rewrite/rules' -Name '.' -Value @{name='Block_ProxyShell'; patternSyntax='ECMAScript'; stopProcessing='True'}
Add-WebConfigurationProperty -Filter "system.webServer/rewrite/rules/rule[@name='Block_ProxyShell']/match" -Name 'url' -Value '.*autodiscover\.json.*'
Add-WebConfigurationProperty -Filter "system.webServer/rewrite/rules/rule[@name='Block_ProxyShell']/conditions" -Name '.' -Value @{input='{REQUEST_URI}'; pattern='.*autodiscover\.json.*'}
Add-WebConfigurationProperty -Filter "system.webServer/rewrite/rules/rule[@name='Block_ProxyShell']/action" -Name '.' -Value @{type='CustomResponse'; statusCode=403; subStatusCode=0; statusReason='Forbidden'; statusDescription='Blocked by Security Policy'}

# IIS 로그 디렉터리에서 autodiscover.json 및 PowerShell 백엔드 호출 흔적 검색
Get-ChildItem -Path 'C:\inetpub\logs\LogFiles\W3SVC1\' -Filter '*.log' |
    Select-String -Pattern 'autodiscover.json.*powershell' |
    Select-Object -Property Line -First 50