Microsoft WordPad 정보 노출 및 NTLM 해시 탈취 취약점 (CVE-2023-36563) 보안 권고

# Windows Update 에이전트를 호출하여 누적 업데이트 설치 상태 확인
Get-HotFix | Where-Object { $_.HotFixID -eq 'KB5031356' -or $_.HotFixID -eq 'KB5031354' }

# Windows Update 모듈을 통한 업데이트 강제 실행 (PSWindowsUpdate 모듈 필요)
Install-Module PSWindowsUpdate -Force -Verbose
Get-WindowsUpdate -AcceptAll -Install -AutoReboot

# 아웃바운드 SMB(Port 445) 트래픽을 차단하는 Windows 방화벽 규칙 생성
New-NetFirewallRule -DisplayName 'Block Outbound SMB (Prevent NTLM Leak)' `
    -Direction Outbound `
    -LocalPort 445 `
    -Protocol TCP `
    -Action Block

# Windows 11/Server 2022 이상에서 원격 서버에 대한 NTLM 제한 설정 (PowerShell)
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' `
    -Name 'RestrictSendingNTLMTraffic' `
    -Value 2 -Type DWord

# WordPad 실행 파일(wordpad.exe)의 버전 및 수정 날짜 확인
Get-ItemProperty -Path 'C:\Program Files\Windows NT\Accessories\wordpad.exe' | `
    Select-Object -Property VersionInfo, LastWriteTime

# 이벤트 로그에서 외부 SMB 연결 시도 관련 이벤트(Event ID 5140 또는 4624 NTLM 관련) 검색
Get-WinEvent -FilterHashtable @{
    LogName='Security';
    Id=4624
} -MaxEvents 100 | Where-Object { $_.Message -like '*NTLM*' } | `
    Select-Object TimeCreated, Id, Message | Format-List