SolarWinds Serv-U 원격 메모리 탈출 기반 원격 코드 실행(RCE) 취약점 (CVE-2021-35211) 분석 및 대응 가이드

# Serv-U 서비스 상태 확인 및 중지
Get-Service -Name 'Serv-U' -ErrorAction SilentlyContinue | ForEach-Object {
    Write-Host 'Stopping Serv-U Service for Patching...' -ForegroundColor Yellow
    Stop-Service -Name $_.Name -Force
    Set-Service -Name $_.Name -StartupType Disabled
}

# 신뢰할 수 없는 외부 IP로부터의 Serv-U 포트 접근 차단 및 특정 IP 허용 규칙 생성
New-NetFirewallRule -DisplayName 'Block-External-Serv-U' `
    -Direction Inbound `
    -Action Block `
    -Protocol TCP `
    -LocalPort 21, 22, 443 `
    -Enabled True

# 신뢰할 수 있는 관리자/파트너 IP 대역만 허용하는 예시
New-NetFirewallRule -DisplayName 'Allow-Trusted-Serv-U' `
    -Direction Inbound `
    -Action Allow `
    -Protocol TCP `
    -LocalPort 21, 22, 443 `
    -RemoteAddress '192.168.10.0/24', '203.0.113.50' `
    -Enabled True

# Serv-U 설치 경로에서 최근 생성된 크래시 덤프 파일(.dmp) 및 예외 로그 검색
$ServUPath = 'C:\Program Files\SolarWinds\Serv-U'
if (Test-Path $ServUPath) {
    Write-Host 'Searching for potential exploit crash dumps...' -ForegroundColor Cyan
    Get-ChildItem -Path $ServUPath -Filter '*.dmp' -Recurse | Select-Object FullName, CreationTime
    
    Write-Host 'Checking Serv-U log files for anomalous activities...' -ForegroundColor Cyan
    Select-String -Path "$ServUPath\*.txt" -Pattern 'exception', 'access violation', 'invalid address' -ErrorAction SilentlyContinue | Select-Object LineNumber, Line, Path -First 10
} else {
    Write-Host 'Serv-U default path not found. Please check custom installation path.' -ForegroundColor Red
}