صائد أسرار MicroBurst

ماسح PowerShell يمر عبر مخرجات MicroBurst Get-AzDomainInfo بحثًا عن كلمات مرور ومفاتيح وسلاسل اتصال وأسرار أخرى بنص واضح لا ينبغي أن تبقى غير مشفّرة في بيئة Azure.

مصمَّم لسير عمل تدقيق للقراءة فقط: تجمع تفريغًا للنطاق باستخدام MicroBurst (يكفي وصول Reader لتشغيل Get-AzDomainInfo)، ثم توجّه هذه الأداة إلى مجلد المخرجات. وهي لا تلمس Azure نفسها — بل تقرأ فقط الملفات التي صدّرتها بالفعل. قيم الأسرار تكون مُخفاة في كل تقرير، لذا فالمخرجات آمنة لإرفاقها بالنتائج.

بدء سريع

# Clone / copy this folder, then from a PowerShell prompt:
.\Scan-MicroBurst.ps1 -Path .\MicroBurst-2026 -Verbose

أو استورد الوحدة النمطية واستخدم الأمر cmdlet مباشرةً:

Import-Module .\MicroBurstSecretsHunter.psd1 -Force
Invoke-MBSecretScan -Path .\MicroBurst-2026

تُكتب التقارير إلى مجلد يحمل طابعًا زمنيًا (MBSecretScan-<timestamp>) في الدليل الحالي ما لم تمرّر -OutputDirectory.

افتراضيًا، تكون كل قيمة مُخفاة بحيث تكون التقارير آمنة للمشاركة. تُخصص الأحرف المكشوفة بمقدار ربع طول القيمة (بحد أقصى 4 في البداية + 2 في النهاية)، وأي شيء بطول 8 أحرف أو أقل يُستبدل بقناع ثابت العرض — لذلك تظهر كلمة المرور النموذجية كـ ********، بينما يبقى مفتاح تخزين بطول 88 حرفًا مميزًا كـ AAAA**********AA. تُخفى سلاسل السياق قبل اقتطاعها، وكل سر يُعثر عليه في سطر يُخفى من سياق كل نتيجة في ذلك السطر، بحيث لا يبقى أي نص واضح في التقرير. عند فرز الإيجابيات الكاذبة، غالبًا ما يكون رؤية القيمة الكاملة أسرع — مرّر -ShowSecrets لإخراج قيم غير مُخفاة في كل مكان (وحدة التحكم، CSV، HTML). عندها تحمل وحدة التحكم وتقرير HTML لافتة تحذير واضحة، ويجب التعامل مع التقارير كمواد اعتمادات حيّة:

Invoke-MBSecretScan -Path .\dump -ShowSecrets        # raw values, for local triage

يعمل على Windows PowerShell 5.1 وPowerShell 7+ (Windows، Linux، macOS).

ما الذي ستحصل عليه

كل تشغيل يُنتج ثلاثة أشياء:

الأمر cmdlet يُصدر أيضًا كائنات النتائج إلى خط الأنابيب، لذا يمكنك معالجتها لاحقًا:

$f = Invoke-MBSecretScan -Path .\dump -Quiet
$f | Where-Object Severity -eq 'Critical' | Format-Table File,Line,RuleName

ما الذي يكتشفه

مجموعة القواعد الكاملة والقابلة للتحرير موجودة في Private/Get-MBSignature.ps1. كل قاعدة هي [PSCustomObject] بهذه الحقول:

الاقتران المنظّم بين أعمدة CSV

يصدّر Get-AzDomainInfo متغيرات حسابات التشغيل الآلي وإعدادات التطبيق كصفوف Name,Value[,Encrypted]. السر موجود في عمود Value بينما الكلمة المفتاحية التي تحدده (مثل ServiceAccountPwd, dbConnectionString) موجودة في عمود Name — لذلك لا يرى التعبير النمطي العادي الاثنين على نفس «السطر»، وتكون الكلمة المفتاحية مدفونة داخل رمز مركّب بدون حدود كلمات.

بالنسبة لملفات .csv / .tsv, يقوم الماسح بالإضافة إلى ذلك بـالاقتران المنظّم للأعمدة (Private/Get-MBCsvFinding.ps1):

• وضع Name/Value — يصنّف خلية Name في كل صف؛ إذا كانت حساسة وكانت خلية Value تحمل بيانات حقيقية، يُبلَّغ عنها. الصفوف الموسومة بـ Encrypted=True تُتخطى (القيمة ليست نصًا واضحًا).
• وضع العمود الحساس — إذا كانت ترويسة العمود بحد ذاتها حساسة (عمود Password أو StorageKey), يُبلَّغ عن كل خلية ليست عنصرًا نائبًا.

القيم التي تغطيها قاعدة عالية الثقة بالفعل (سلاسل الاتصال، مفاتيح التخزين، SAS) تُؤجَّل إلى مرحلة السطور الخام لإخفاء أكثر إحكامًا، وتُزال ازدواجية النتائج حسب الفئة بحيث لا يُبلَّغ عن السر نفسه مرتين. إذا تعذّر تحليل ملف كـ CSV، يعود الماسح تلقائيًا إلى الفحص العادي للسطور الخام.

فحص جانب القيمة (-ScanValues)

الاقتران أعلاه يعتمد على اسم الإعداد. وللحصول أيضًا على الأسرار المخزّنة تحت اسم بلا معنى (مثل Config1 = P@ssw0rd2026!)، مرّر -ScanValues. إنه يفحص محتوى خلايا القيم باستدلالين متحفظين منخفضي الخطورة:

• يشبه كلمة المرور — من 8 إلى 64 حرفًا، بدون مسافات بيضاء، يحتوي حرفًا خاصًا قويًا (!@#$%^&* …) إضافة إلى حروف وفئة أخرى. القيم ذات النمط المعرّفي مثل Standard_D2s_v3 (ورمزها الوحيد _ - .) تُتجاهل.
• عالية الإنتروبيا — ≥ 16 حرفًا، حروف+أرقام مختلطة، إنتروبيا شانون ≥ -MinEntropy. المسارات / عناوين URL / معرفات الموارد (أي شيء يحتوي / أو \) تُتخطى لتجنب الإبلاغ عن معرفات الموارد.

في جداول Name/Value يفحص عمود Value؛ وفي الجداول الحرة يفحص كل خلية. هذا يضحي باسترجاع أعلى مقابل إيجابيات كاذبة أكثر، لذا فهو معطّل افتراضيًا — شغّله لفحص أعمق، ثم افرز النتائج منخفضة الخطورة.

التعامل مع الإيجابيات الكاذبة

تفريغات Azure مليئة بسلاسل طويلة تبدو عشوائية لكنها ليست أسرارًا. الماسح يفلترها:

• GUIDs (معرفات الاشتراك / المستأجر / المورد / الكائن) لا يُبلَّغ عنها أبدًا.

• العناصر النائبة وأشكال القيم غير السرية — ********, null, <provide-at-deploy>, true/false, الأحرف المتكررة، رموز القوالب (${var}, %VAR%)، كائنات/مصفوفات JSON ({...}, [...], بما فيها متعددة الأسطر)، التواريخ/الطوابع الزمنية، وأسماء أنواع/مجموعات .NET المسلسلة (مثل عمود Secrets في مجموعة مقياس VM يظهر كـ System.Collections.Generic.List1[...VaultSecretGroup]) — تُتخطى. لاحظ أن هذا يعتمد على الشكل: عمود Secrets` يحمل قيمة نصية واضحة فعلية لا يزال يُبلَّغ عنه.

• حقول بيانات كلمة المرور الحميدة — أعمدة الدليل التي يحتوي اسمها على كلمة مفتاحية لكنها تصف فقط سياسة/حالة كلمة المرور، ولا تصف السر نفسه أبدًا (PasswordProfile, , , , , …). هذه شائعة في تصديرات RBAC مثل / ولا يُبلَّغ عنها، بينما العمود المسمّى حقًا لا يزال يُبلَّغ عنه. أعمدة أذونات سياسة الوصول في Key Vault (, , …) — التي تحمل أفعال أذونات مثل — تُتجاهل بالمثل.

المعاملات الأساسية

هيكل المشروع

MicroBurstSecretsHunter.psd1     Module manifest
MicroBurstSecretsHunter.psm1     Module loader
Scan-MicroBurst.ps1              Convenience wrapper script
Public/
  Invoke-MBSecretScan.ps1        Main cmdlet (file walk, matching, reporting)
Private/
  Get-MBSignature.ps1            Detection rule set (edit to extend)
  Get-MBCsvFinding.ps1           Structured CSV Name/Value column pairing
  MBHelpers.ps1                  Entropy, redaction, context rendering,
                                 CSV field escaping, line windowing,
                                 placeholder/GUID filters
  Write-MBConsoleSummary.ps1     Console output
  New-MBHtmlReport.ps1           HTML report generator
tests/
  sample-dump/                   Example Get-AzDomainInfo-style fixture

لتجربته على العينة المرفقة:

.\Scan-MicroBurst.ps1 -Path .\tests\sample-dump

حدود التغطية التي تخبرك بها الأداة

أي شيء لم يستطع الماسح قراءته هو نقطة عمياء، والنقطة العمياء الصامتة تُقرأ على أنها «لا شيء موجود هنا». لذلك يكون الماسح صريحًا بشأنها:

• الملفات الأكبر من -MaxFileSizeMB تُنتج Write-Warning يسمّيها، وسطر NOT scanned في ملخص وحدة التحكم، ولافتة في تقرير HTML.
• الملفات غير المقروءة (مقفلة، مرفوضة الإذن) تُحسب بالطريقة نفسها؛ شغّل مع -Verbose لعرض المسارات الفردية.
• الأسطر الطويلة لا تُقتطع. JSON المصغّر في سطر واحد أمر طبيعي في تصديرات Azure، وقالب ARM من سطر واحد بحجم 14 كيلوبايت يمكن أن يخفي بسهولة AdminPassword خلف أي حد ثابت، لذلك تُفحص الأسطر بنوافذ متداخلة من 8000 حرف بدلًا من ذلك. التكرارات الناتجة من التداخل تُدمج في إزالة الازدواجية.

ملاحظات وتحذيرات

• غياب الاكتشافات ليس دليلًا على الأمان. تعامل معها كمضاعِف قوة للمراجعة اليدوية، وليس بديلًا عنها.
• افتراضيًا تُخفي التقارير القيم السرية لكنها ما تزال تكشف أين تعيش الأسرار، لذا تعامل معها كمصنوعات اختبار حساسة. مع -ShowSecrets ستحتوي على الاعتمادات الكاملة بالنص الواضح — خزّنها بأمان واحذفها بعد الفرز.
• الأداة للقراءة فقط ولا تُجري أي استدعاءات شبكية.