MicroburstSecretsHunter

Durchsucht exportierte Azure-Domain-Dumps nach Klartext-Passwörtern, Verbindungszeichenfolgen, Speicherschlüsseln und anderen Geheimnissen; erstellt geschwärzte CSV/HTML-Berichte für schreibgeschützte Audit-Workflows.

Berichte werden in einen Zeitstempel-Ordner (MBSecretScan-<timestamp>) im aktuellen Verzeichnis geschrieben, sofern Sie nicht -OutputDirectory angeben.

Standardmäßig wird jeder Wert geschwärzt, damit die Berichte sicher geteilt werden können. Die sichtbaren Zeichen sind auf ein Viertel der Wertlänge begrenzt (max. 4 führende + 2 nachgestellte Zeichen), und alles, was 8 Zeichen oder kürzer ist, wird durch eine Maske fester Breite ersetzt – ein typisches Passwort erscheint also als ********, während ein 88 Zeichen langer Storage-Schlüssel als AAAA**********AA erkennbar bleibt. Kontextzeichenfolgen werden geschwärzt, bevor sie gekürzt werden, und jedes auf einer Zeile gefundene Geheimnis wird aus dem Kontext jedes Findings dieser Zeile entfernt, sodass in einem Bericht kein Klartext überlebt. Beim Triage von False Positives ist es oft schneller, den vollständigen Wert zu sehen – übergeben Sie -ShowSecrets, um ungeschwärzte Werte überall auszugeben (Konsole, CSV, HTML). Konsole und HTML tragen dann ein deutliches Warnbanner, und die Berichte müssen wie echtes Anmeldeinformationsmaterial behandelt werden:

Funktioniert unter Windows PowerShell 5.1 und PowerShell 7+ (Windows, Linux, macOS).

Was Sie erhalten

Jeder Lauf erzeugt drei Dinge:

Das Cmdlet gibt außerdem Finding-Objekte an die Pipeline aus, sodass Sie nachverarbeiten können:

Was erkannt wird

Der vollständige, bearbeitbare Regelsatz befindet sich in Private/Get-MBSignature.ps1. Jede Regel ist ein [PSCustomObject] mit diesen Feldern:

Strukturierte CSV-Spaltenpaarung

Get-AzDomainInfo exportiert Automation-Kontovariablen und App-Einstellungen als Name,Value[,Encrypted]-Zeilen. Das Geheimnis befindet sich in der Spalte Value, während das Schlüsselwort, das es identifiziert (z. B. ServiceAccountPwd, dbConnectionString), in der Spalte Name steht – ein einfacher regulärer Ausdruck sieht sie also nie in derselben "Zeile", und das Schlüsselwort ist ohne Wortgrenze in einem zusammengesetzten Token vergraben.

Für .csv-/.tsv-Dateien führt der Scanner zusätzlich eine strukturierte Spaltenpaarung durch (Private/Get-MBCsvFinding.ps1):

• Name/Value-Modus – klassifiziert die Name-Zelle jeder Zeile; wenn sie sensibel ist und die Value-Zelle echte Daten enthält, wird sie gemeldet. Zeilen mit Encrypted=True werden übersprungen (der Wert ist kein Klartext).
• Sensibler-Spalten-Modus – wenn ein Spaltenkopf selbst sensibel ist (eine Password- oder StorageKey-Spalte), wird jede Zelle gemeldet, die kein Platzhalter ist.

Werte, die bereits von einer Regel mit hoher Konfidenz abgedeckt werden (Verbindungszeichenfolgen, Storage-Schlüssel, SAS), werden an den Rohzeilen-Durchlauf zur engeren Schwärzung übergeben, und Findings werden nach Kategorie dedupliziert, sodass dasselbe Geheimnis nie doppelt gemeldet wird. Wenn eine Datei nicht als CSV geparst werden kann, greift der Scanner automatisch auf den normalen Rohzeilen-Scan zurück.

Wertseitiger Scan (-ScanValues)

Die obige Paarung knüpft an den Namen einer Einstellung an. Um auch Geheimnisse zu erfassen, die unter einem bedeutungslosen Namen gespeichert sind (z. B. Config1 = P@ssw0rd2026!), übergeben Sie -ScanValues. Dabei wird der Inhalt von Wert-Zellen mit zwei konservativen Heuristiken mit niedrigem Schweregrad untersucht:

• Passwortähnlich – 8–64 Zeichen, keine Leerzeichen, enthält ein starkes Sonderzeichen (!@#$%^&* …) sowie Buchstaben und eine weitere Zeichenklasse. Bezeichnerartige Werte wie Standard_D2s_v3 (deren einzige Symbole _ - . sind) werden ignoriert.
• Hohe Entropie – ≥ 16 Zeichen, gemischte Buchstaben+Ziffern, Shannon-Entropie ≥ -MinEntropy. Pfade / URLs / Ressourcen-IDs (alles, was / oder \ enthält) werden übersprungen, um das Markieren von Ressourcen-IDs zu vermeiden.

In Name/Value-Tabellen wird die Value-Spalte gescannt; in Freiform-Tabellen wird jede Zelle gescannt. Das bedeutet höhere Trefferquote, aber auch mehr False Positives – daher ist es standardmäßig deaktiviert. Aktivieren Sie es für einen tieferen Sweep und führen Sie dann das Triage der Low-Findings durch.

Behandlung von False Positives

Azure-Dumps sind voller langer, zufällig aussehender Zeichenfolgen, die keine Geheimnisse sind. Der Scanner filtert diese heraus:

• GUIDs (Abonnement-/Mandanten-/Ressourcen-/Objekt-IDs) werden nie markiert.

• Platzhalter & Nicht-Geheimnis-Wertformen – ********, null, <provide-at-deploy>, true/false, wiederholte Zeichen, Vorlagen-Tokens (${var}, %VAR%), JSON-Objekte/-Arrays ({...}, [...], einschließlich mehrzeiliger), Datums-/Zeitstempel und serialisierte .NET-Typ-/Sammlungsnamen (z. B. eine VM-Skalierungsgruppen-Secrets-Spalte, die als System.Collections.Generic.List1[...VaultSecretGroup]dargestellt wird) – werden übersprungen. Beachten Sie, dass dies formbasiert ist: EineSecrets`-Spalte mit einem tatsächlichen Klartextwert wird weiterhin markiert.

• Harmlose Passwort-Metadatenfelder – Verzeichnisspalten, deren Name ein Schlüsselwort enthält, aber nur den Passwort-Status bzw. die Richtlinie beschreiben, niemals das Geheimnis selbst (PasswordProfile, PasswordPolicies, ForceChangePasswordNextSignIn, LastPasswordChangeDateTime, PasswordExpirationDateTime, …). Diese sind in RBAC-Exporten wie InheritedOwners.csv / InheritedContributors.csv häufig und werden nicht markiert, während eine Spalte, die tatsächlich Password heißt, weiterhin markiert wird. Key Vault-Zugriffsrichtlinien-Berechtigungsspalten (PermissionsToSecretsStr, PermissionsToKeysStr, …), die Berechtigungsverben wie Get, List, Set, Delete enthalten, werden ebenfalls ignoriert.

• Code- & Vorlagenausdrücke – wenn password/secret/usw. ein Variablen- oder Eigenschaftsname ist, der auf einen Ausdruck statt auf ein Literal verweist, wird der erfasste Wert übersprungen: PowerShell-Cmdlet-Aufrufe (Get-RandomPassword 8, Get-AzKeyVaultSecret ...), Variablenreferenzen einschließlich skopierter ($result, $kv.Secrets, $global:clientSecret, $env:KEY), Unterausdrücke ((-join $x)) und ARM-/Logic-App-Referenzen (@{body(...)}, @body(...), [parameters('...')]). Häufig in Automation-Runbooks und Logic-App-Definitionen.

  Die mehrdeutigen Formen hier – $var, , – werden nur in Dateien verworfen, die tatsächlich Code enthalten (, , , , …). Ein Passwort ist sehr oft eine gültige Variablenreferenz (, ), daher hat die Anwendung dieses Filters auf CSV-Wert-Zellen echte Geheimnisse verworfen. Eindeutige Vorlagenmarkierungen (, , ) werden überall herausgefiltert.

• Spaltenkopf-Nähe – die generischen keyword = value-Regeln behandeln nur : und = als Trennzeichen (nicht ,), sodass ein CSV-Header wie ...,AdminPassword,Secrets,... den nächsten Spaltennamen nicht mehr als Passwort erfasst. Kommagetrennte Name,Value-Paare werden weiterhin von der strukturierten CSV-Paarung abgedeckt.

• Ressourcen-ID-Pfade werden in kurze Segmente aufgeteilt, statt als ein Token mit hoher Entropie behandelt zu werden.

• Case-sensitive Anmeldeinformationsformate (AWS AKIA…, GitHub ghp_…, JWT eyJ…, Azure AD …Q~…) werden case-sensitiv abgeglichen, sodass beliebig großgeschriebene Ähnlichkeiten wie akiaijklmnopqrstuvwx nicht gemeldet werden. Schlüsselwortregeln (password=, AccountKey=) bleiben case-insensitiv.

• Die Entropie-Heuristik ist standardmäßig deaktiviert – sie erzeugt verrauschte Low-Severity-Findings, daher opt-in mit -IncludeEntropy für einen tieferen Sweep. Selbst dann feuert sie nur auf Tokens, die wie Schlüsselmaterial aussehen (gemischte Buchstaben+Ziffern oder Base64-Marker), sodass camelCase-Bezeichner wie networkSecurityGroups ignoriert werden. Erhöhen Sie die Messlatte weiter mit -MinEntropy 4.5.

Wichtige Parameter

Projektstruktur

Zum Testen mit der mitgelieferten Beispieldatei:

Abdeckungsgrenzen, die Ihnen das Tool mitteilt

Alles, was der Scanner nicht lesen konnte, ist ein blinder Fleck – und ein stiller blinder Fleck liest sich wie "hier wurde nichts gefunden". Der Scanner ist daher explizit diesbezüglich:

• Dateien über -MaxFileSizeMB erzeugen eine Write-Warning mit ihrem Namen, eine NOT scanned-Zeile in der Konsolenübersicht und ein Banner im HTML-Bericht.
• Nicht lesbare Dateien (gesperrt, keine Berechtigung) werden auf dieselbe Weise gezählt; führen Sie mit -Verbose aus, um die einzelnen Pfade zu sehen.
• Lange Zeilen werden nicht gekürzt. Minifiziertes einzeiliges JSON ist in Azure-Exporten normal, und eine 14 KB große einzeilige ARM-Vorlage versteckt ein AdminPassword gerne hinter jedem festen Cut-off. Daher werden Zeilen in überlappenden 8000-Zeichen-Fenstern gescannt. Doppelte Treffer aus der Überlappung werden in der Deduplizierung zusammengeführt.

Hinweise & Einschränkungen

• Das Fehlen von Erkennungen ist kein Beweis für Sicherheit. Betrachten Sie dies als Kraftverstärker für die manuelle Prüfung, nicht als deren Ersatz.
• Standardmäßig schwärzen die Berichte Geheimniswerte, legen aber dennoch offen, wo sich Geheimnisse befinden. Behandeln Sie sie daher als sensible Engagement-Artefakte. Mit -ShowSecrets enthalten sie die vollständigen Klartext-Anmeldeinformationen – sicher aufbewahren und nach dem Triage löschen.
• Das Tool ist read-only und tätigt keine Netzwerkaufrufe.