Microsoft Active Directory 도메인 서비스 권한 상승 취약점 (CVE-2021-42287) 분석 및 대응 가이드

# 누적 패치 적용 여부 확인 (KB5008212, KB5008233 등 운영체제 버전에 따른 패치 확인)
Get-HotFix | Where-Object { $_.HotFixID -match 'KB5008212|KB5008233|KB5008302' }

# Windows Update 모듈을 통한 누적 업데이트 설치
Install-Module PSWindowsUpdate -Force -SkipPublisherCheck
Get-WindowsUpdate -AcceptAll -Install -AutoReboot

# Active Directory 모듈 로드 후 MachineAccountQuota 값을 0으로 설정
Import-Module ActiveDirectory
Set-ADDomain (Get-ADDomain) -Replace @{'ms-DS-MachineAccountQuota'=0}

# 설정 변경 결과 확인
Get-ADDomain | Select-Object -Property Name, @{Name='MachineAccountQuota';Expression={(Get-ADObject $_.DistinguishedName -Properties 'ms-ds-MachineAccountQuota').'ms-ds-MachineAccountQuota'}}

# 최근 7일간 발생한 컴퓨터 계정 변경 이벤트(ID 4742) 중 비정상적인 sAMAccountName 변경 탐지
$StartDate = (Get-Date).AddDays(-7)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4742; StartTime=$StartDate} -ErrorAction SilentlyContinue | 
ForEach-Object {
    $xml = [xml]$_.ToXml()
    $targetName = ($xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
    if ($targetName -and -not $targetName.EndsWith('$')) {
        [PSCustomObject]@{
            TimeCreated = $_.TimeCreated
            EventID     = $_.Id
            TargetUser  = $targetName
            SubjectUser = ($xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
            Message     = 'Warning: Computer account modified without trailing dollar sign ($)'
        }
    }
}