Windows LSA 스푸핑 및 NTLM 릴레이 취약점 (CVE-2022-26925) 보안 권고

# Windows Update 모듈 설치 및 업데이트 확인
Install-Module PSWindowsUpdate -Force -Verbose
Get-WindowsUpdate -KBArticleID KB5013944, KB5013941 -Install -AcceptAll -AutoReboot

# IIS Web Administration 모듈 로드
Import-Module WebAdministration

# AD CS CertSrv 가상 디렉터리에 대해 Windows 인증 및 EPA 강제 적용
Set-WebConfigurationProperty -Filter '/system.webServer/security/authentication/windowsAuthentication' -Name 'useKernelMode' -Value $true -PSPath 'IIS:\sites\Default Web Site\CertSrv'
Set-WebConfigurationProperty -Filter '/system.webServer/security/authentication/windowsAuthentication' -Name 'extendedProtection.tokenChecking' -Value 'Require' -PSPath 'IIS:\sites\Default Web Site\CertSrv'

# 최근 24시간 동안의 NTLM 인증 관련 이벤트 로그 조회
$StartDate = (Get-Date).AddDays(-1)
Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    Id = 4624
    StartTime = $StartDate
} | Where-Object { $_.Properties.Value -eq 'NtLmSsp' } | Select-Object TimeCreated, Id, @{N='TargetUser';E={$_.Properties.Value}}, @{N='IpAddress';E={$_.Properties.Value}} | Format-Table -AutoSize