Microsoft Exchange Server 권한 상승 및 SSRF 취약점 (CVE-2022-41040, ProxyNotShell) 긴급 보안 권고

# Exchange Server 버전 및 빌드 번호 확인
Get-ExchangeServer | Format-List Name, Edition, AdminDisplayVersion

# 최신 보안 패치 적용 후 IIS 서비스 재시작
Restart-Service W3SVC, WAS -Force

# IIS URL Rewrite 모듈을 사용하여 ProxyNotShell 공격 패턴 차단 규칙 추가
Import-Module WebAdministration
$ruleName = 'Block-ProxyNotShell'
$xpath = "/configuration/system.webServer/rewrite/rules/rule[@name='" + $ruleName + "']"

# Autodiscover 경로 내 특정 패턴(?.*autodiscover\.json.*@.*Powershell) 차단 규칙 구성
Add-WebConfigurationProperty -PSPath 'IIS:\sites\Default Web Site' -Filter 'system.webServer/rewrite/rules' -Name '.' -Value @{name=$ruleName; patternSyntax='Regular Expressions'; stopProcessing='True'}
Set-WebConfigurationProperty -PSPath 'IIS:\sites\Default Web Site' -Filter "system.webServer/rewrite/rules/rule[@name='$ruleName']/match" -Name 'url' -Value '.*'
Add-WebConfigurationProperty -PSPath 'IIS:\sites\Default Web Site' -Filter "system.webServer/rewrite/rules/rule[@name='$ruleName']/conditions" -Name '.' -Value @{input='{REQUEST_URI}'; pattern='.*autodiscover\.json.*@.*Powershell'; ignoreCase='True'}
Set-WebConfigurationProperty -PSPath 'IIS:\sites\Default Web Site' -Filter "system.webServer/rewrite/rules/rule[@name='$ruleName']/action" -Name 'type' -Value 'CustomResponse'
Set-WebConfigurationProperty -PSPath 'IIS:\sites\Default Web Site' -Filter "system.webServer/rewrite/rules/rule[@name='$ruleName']/action" -Name 'statusCode' -Value 403

# IIS 로그 디렉토리에서 ProxyNotShell 공격 패턴 검색 (Linux/Bash 환경 또는 WSL에서 실행)
grep -ri 'autodiscover.json' /var/log/iis/ | grep -i 'Powershell'