Microsoft Exchange Server 원격 코드 실행(RCE) 취약점 (CVE-2022-41082, ProxyNotShell) 분석 및 대응 가이드

# Exchange Server 버전 및 빌드 번호 확인
Get-ExchangeServer | Format-List Name, Edition, AdminDisplayVersion

# 최신 보안 패치(KB5019758 이상) 설치 후 IIS 및 Exchange 서비스 재시작
Restart-Service W3SVC, MSExchangeIS

# 1. IIS URL 재작성 규칙 추가 (ProxyNotShell 차단)
Import-Module WebAdministration
$ruleName = 'Block_ProxyNotShell_PowerShell'
$filterPattern = '.*autodiscover\.json.*powershell.*'

Add-WebConfigurationProperty -pspath 'IIS:\Sites\Default Web Site' -filter 'system.webServer/rewrite/rules' -name '.' -value @{name=$ruleName; patternSyntax='Regular Expressions'; stopProcessing='True'}
Set-WebConfigurationProperty -pspath 'IIS:\Sites\Default Web Site' -filter "system.webServer/rewrite/rules/rule[@name='$ruleName']/match" -name 'url' -value '.*'
Add-WebConfigurationProperty -pspath 'IIS:\Sites\Default Web Site' -filter "system.webServer/rewrite/rules/rule[@name='$ruleName']/conditions" -name '.' -value @{input='{REQUEST_URI}'; matchType='Pattern'; pattern=$filterPattern}
Set-WebConfigurationProperty -pspath 'IIS:\Sites\Default Web Site' -filter "system.webServer/rewrite/rules/rule[@name='$ruleName']/action" -name 'type' -value 'CustomResponse'
Set-WebConfigurationProperty -pspath 'IIS:\Sites\Default Web Site' -filter "system.webServer/rewrite/rules/rule[@name='$ruleName']/action" -name 'statusCode' -value 403

# 2. 일반 사용자의 Remote PowerShell 비활성화
Get-User -ResultSize Unlimited | Where-Object {$_.RemotePowerShellEnabled -eq $true} | Set-User -RemotePowerShellEnabled $false

# IIS 로그 디렉터리에서 ProxyNotShell 패턴 검색
$LogPath = 'C:\inetpub\logs\LogFiles\W3SVC1\*.log'
Select-String -Path $LogPath -Pattern 'autodiscover.json' | Where-Object { $_ -like '*powershell*' }

# Exchange PowerShell 백엔드 로그에서 비정상적인 역직렬화 오류 확인
Get-WinEvent -LogName 'Application' | Where-Object { $_.Message -like '*System.Runtime.Serialization*' -and $_.Message -like '*Exchange*' } | Select-Object -First 10 | Format-Table TimeCreated, Message -Wrap