HuntCyberArk - مجموعة تدقيق أمان CyberArk

أداة تقييم أمنية شاملة تعتمد على PowerShell لمنصات إدارة الوصول المميز (PAM) من CyberArk. مصممة لمحترفي الأمن الهجومي، وفرق الاختراق، ومختبري الاختراق.

تم تصميم هذه الأداة للعمل عن بُعد ضد خوادم CyberArk عبر الشبكة. لا تحتاج إلى تنفيذها على خوادم CyberArk نفسها. يتم إجراء جميع الفحوصات عبر الشبكة باستخدام PVWA API ومسح المنافذ واختبار الويب.

تقوم هذه الأداة بإجراء فحوصات أمنية تشمل الامتثال لمعايير CIS Benchmark وأفضل ممارسات البائعين واختبار الصندوق الأسود وتحليل أمان الشبكة وفحوصات الثغرات الخاصة بـ CVE (بما في ذلك CVEs لعام 2025) وأمان هويات الآلات وإدارة الأسرار وتقييم الصلاحيات الدائمة الصفرية (ZSP) وحوكمة الهوية وفحوصات أمنية محسّنة.

الميزات الرئيسية

الميزة	الوصف
التدقيق عن بُعد	يتم إجراء جميع الفحوصات عن بُعد عبر الشبكة - لا حاجة للتثبيت على خوادم CyberArk
وضع OPSEC	مسح متخفي مع تأخيرات قابلة للتكوين وتشتيت وتقليل بصمة الكشف
دعم الوكيل	توجيه جميع الحركة عبر Burp Suite أو ZAP أو وكلاء اعتراض آخرين
هجمات التوقيت	اكتشاف تعداد المستخدمين والحقن الأعمى عبر تحليل توقيت الاستجابة
أمان JWT	اختبار تجاوز خوارزمية none والخلط الرئيسي وخوارزميات التوقيع الضعيفة
اختبار WebSocket	اكتشاف نقاط النهاية في الوقت الفعلي واختبار خطف WebSocket عبر المواقع
تجنب WAF	اختبار تجاوزات الترميز وتلوث معاملات HTTP وتهريب الطلبات
تدوير وكيل المستخدم	سلاسل وكيل مستخدم عشوائية أو مخصصة لتجنب البصمة
التنفيذ المتوازي	تنفيذ متوازي اختياري للمسح الأسرع
الوضع الصامت	إخراج وحدة تحكم مخفض للأتمتة والبرمجة النصية
أمان بيانات الاعتماد	معالجة آمنة مع تنظيف الذاكرة بعد الاستخدام
التقارير الشاملة	لوحة تحكم HTML و 7 ملفات CSV و JSON منظم للاستخدام البرمجي
أدلة الإثبات (PoC)	إثبات الطلب/الاستجابة المضمن في تقرير HTML لاختبار الاختراق
التنفيذ الانتقائي	تشغيل فئات فحص محددة فقط (مسح المنافذ، CVE، الصندوق الأسود، المصادق عليه، الشبكة)
تقليل الإيجابيات الخاطئة	بصمة أساسية للتخلص من الإيجابيات الخاطئة لـ SPA catch-all
اختبار المصادقة الهوية	فحوصات كشف المعلومات والتعداد لـ StartAuthentication/ForgotUsername

جدول المحتويات

• المتطلبات الأساسية
• التثبيت
• مراحل التدقيق ومتطلبات المصادقة
• الميزات
• الاستخدام
• المعلمات
• الإخراج
  • تقرير HTML
  • تقارير CSV
  • تقرير JSON
  • تسجيل المخاطر
• اعتبارات الأمان
• إصدارات CyberArk المعروفة بأنها ضعيفة
• استكشاف الأخطاء وإصلاحها
• المراجع

المتطلبات الأساسية

متطلبات النظام

المتطلب	الأدنى	الموصى به
PowerShell	7.0	7.x (الأحدث)
.NET Framework	4.5	4.8+
نظام التشغيل	Windows 10/Server 2016	Windows 11/Server 2022
الذاكرة	2 جيجابايت متوفرة	4 جيجابايت متوفرة

الوصول المطلوب

مرحلة التدقيق	الوصول المطلوب
المرحلة 1 (بدون مصادقة)	وصول الشبكة إلى PVWA (HTTPS/443)
المرحلة 2 (بالمصادقة)	بيانات اعتماد API لـ CyberArk مع دور مدير الخزنة أو المدقق

متطلبات الشبكة

• اتصال HTTPS صادر (TCP/443) إلى خادم PVWA
• لمسح المنافذ الشامل: الوصول إلى المنافذ 1858 و 1859 و 3389 و 5985 و 5986
• تحليل DNS لاسم مضيف PVWA الهدف

التثبيت

لا توجد أدوات خارجية مطلوبة

هذا البرنامج النصي مكتفي ذاتياً بالكامل ويستخدم فقط إمكانيات PowerShell الأصلية و .NET Framework. لا حاجة لتثبيت أدوات أو وحدات إضافية.

يستفيد البرنامج النصي من:

• فئات .NET الأصلية: System.Net.Sockets.TcpClient و System.Net.Security.SslStream لتحليل الشبكة و TLS
• Cmdlets مدمجة: Invoke-WebRequest و Invoke-RestMethod لاختبار HTTP/API
• شهادات X.509: System.Security.Cryptography.X509Certificates لتحليل الشهادات

الخطوة 1: التحقق من إصدار PowerShell

افتح PowerShell وقم بتشغيل:```powershell $PSVersionTable.PSVersion

تأكد من أن الإصدار الرئيسي هو **7 أو أعلى**. إذا لم يكن كذلك، [قم بتنزيل PowerShell 7.x](https://github.com/PowerShell/PowerShell/releases).

> **ملاحظة:** يتطلب هذا البرنامج النصي PowerShell 7.0 أو الأحدث. إصدار Windows PowerShell 5.1 غير مدعوم.

### الخطوة 2: تنزيل البرنامج النصي

**الخيار أ: استنساخ المستودع (موصى به)**```powershell
git clone https://github.com/Logisek/HuntCyberArk.git
cd HuntCyberArk

الخيار ب: التنزيل مباشرة```powershell

Download to current directory

Invoke-WebRequest -Uri "https://raw.githubusercontent.com/Logisek/HuntCyberArk/main/CyberArk-Security-Audit.ps1" -OutFile "CyberArk-Security-Audit.ps1"

### الخطوة 3: Set Execution Policy (إذا لزم الأمر)

إذا واجهت أخطاء في تنفيذ البرنامج النصي، فاسمح مؤقتًا بتنفيذ البرنامج النصي:```powershell
# Check current policy
Get-ExecutionPolicy

# Set for current session only (recommended)
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process

# Or unblock the downloaded script
Unblock-File -Path .\CyberArk-Security-Audit.ps1

الخطوة 4: التحقق من تكوين SSL/TLS

لاختبار TLS بشكل صحيح، تأكد من أن جلسة PowerShell الخاصة بك تدعم TLS 1.2+:```powershell

Enable TLS 1.2 (recommended to add to your profile)

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

### الخطوة 5: اختبار الاتصال

تحقق من إمكانية الوصول إلى خادم PVWA:```powershell
# Test basic connectivity
Test-NetConnection -ComputerName pvwa.domain.com -Port 443

# Test HTTPS endpoint
Invoke-WebRequest -Uri "https://pvwa.domain.com/PasswordVault/" -UseBasicParsing -TimeoutSec 10

اختياري: تثبيت PowerShell 7 (موصى به)

توفر PowerShell 7 أداءً محسنًا ودعمًا أفضل لـ TLS:```powershell

Windows (winget)

winget install Microsoft.PowerShell

Windows (manual)

Download from: https://github.com/PowerShell/PowerShell/releases

## مراحل التدقيق ومتطلبات المصادقة

يعمل التدقيق على مرحلتين، لكل منهما متطلبات مصادقة مختلفة:

### المرحلة 1: الفحوصات غير المُوثَّقة (لا حاجة لبيانات اعتماد)
اختبارات خارجية/صندوق أسود يمكن إجراؤها دون أي بيانات اعتماد:
- أمان الشبكة (مسح المنافذ، كشف منافذ الخزنة)
- تكوين TLS/SSL وتحليل الشهادات
- أمان الويب الصندوق الأسود (نقاط النهاية المكشوفة، كشف المعلومات)
- رؤوس أمان PVWA وأمان ملفات تعريف الارتباط
- اختبار الثغرات الخاصة بـ CVE (بما في ذلك CVEs لعام 2025)
- اختبار أمان API (نقاط النهاية غير المُوثَّقة)
- كشف إصدارات المكونات
- كشف هجمات التوقيت
- اختبار أمان JWT/OAuth2
- كشف نقاط نهاية WebSocket
- اختبار تجاوز WAF
- اختبار نقاط نهاية مصادقة CyberArk Identity/Privilege Cloud (StartAuthentication, ForgotUsername)

**حالة الاستخدام**: اختبار الاختراق، تقييمات الأمان الخارجية، الاستطلاع السريع

### المرحلة 2: الفحوصات المُوثَّقة (مطلوب بيانات اعتماد API لـ CyberArk)
تدقيقات تكوين معمقة تتطلب الوصول إلى REST API الخاص بـ CyberArk:
- تكوينات الخزائن وأذوناتها
- إعدادات إدارة الحسابات وبيانات الاعتماد
- تكوينات المنصة
- حسابات المستخدمين وأذونات الخزنة
- إعدادات طرق المصادقة
- حالة صحة المكونات
- تكوينات Master Policy، PSM، CPM، PTA
- أمان هوية الآلة (حسابات الخدمة، AppIDs)
- إدارة الأسرار (تكوين CP/CCP)
- الامتيازات الصفرية (تقييم الوصول في الوقت المناسب JIT)
- حوكمة الهوية (الهويات المهجورة، انحراف الأذونات)
- أمان السحابة (التكامل مع AWS/Azure/GCP)
- التعافي من الكوارث (خزنة DR، صحة الكتلة عالية التوفر HA)
- تعيين الامتثال (NIST، SOC 2، PCI-DSS)
- تكامل Secrets Hub (مزامنة الأسرار السحابية الأصلية)
- أمان الوصول عن بُعد / Alero
- أمان أسرار Kubernetes
- أمان خط أنابيب DevSecOps
- الفحوصات الخاصة بـ Privilege Cloud / SaaS
- تكامل CyberArk Identity / Idaptive
- أمان الإضافات المخصصة
- أمان النسخ الاحتياطي
- تكامل HSM
- الكشف المتقدم PTA
- تكاملات الطرف الثالث (SIEM، ITSM، SOAR)
- مقاييس النظافة التشغيلية
- محاكاة مسار الهجوم
- سلامة سلسلة التوريد
- تجزيء الشبكة

**الأذونات المطلوبة**: يُوصى بدور مسؤول الخزنة أو المدقق

## الميزات

### فئات فحوصات الأمان