Active Directory 도메인 서비스 권한 상승 취약점 (CVE-2022-26923) 분석 및 대응 가이드

# Windows Update 모듈 설치 및 업데이트 확인
Install-Module PSWindowsUpdate -Force -Verbose
Get-WindowsUpdate -KBArticleID KB5013944 -Install -AcceptAll -AutoReboot

# Active Directory 모듈 로드 및 머신 계정 생성 할당량을 0으로 설정
Import-Module ActiveDirectory
Set-ADDomain (Get-ADDomain) -Replace @{'ms-DS-MachineAccountQuota'=0}

# 설정 반영 여부 확인
(Get-ADDomain).'ms-DS-MachineAccountQuota'

# 최근 7일간 발생한 컴퓨터 계정 변경 이벤트(ID 4742) 분석
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4742; StartTime=(Get-Date).AddDays(-7)} -ErrorAction SilentlyContinue

foreach ($Event in $Events) {
    $Xml = [xml]$Event.ToXml()
    $TargetName = ($Xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
    $DnsName = ($Xml.Event.EventData.Data | Where-Object {$_.Name -eq 'DnsHostName'}).'#text'
    $SubjectName = ($Xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
    
    if ($DnsName -and ($DnsName -like '*dc*' -or $DnsName -like '*ad*')) {
        Write-Host '[WARNING] Suspect Computer Account Modification Detected!' -ForegroundColor Red
        Write-Host 'Target Account:' $TargetName
        Write-Host 'Modified DNS Host Name:' $DnsName
        Write-Host 'Actor Account:' $SubjectName
        Write-Host '--------------------------------------------------'
    }
}