MicroBurst Secrets Hunter

Un escáner de PowerShell que examina la salida de Get-AzDomainInfo de MicroBurst en busca de contraseñas en texto plano, claves, cadenas de conexión y otros secretos que nunca deberían permanecer sin cifrar en un entorno de Azure.

Diseñado para flujos de trabajo de auditoría de solo lectura: recopilas un volcado de dominio con MicroBurst (el acceso de Lector es suficiente para Get-AzDomainInfo) y luego apuntas esta herramienta a la carpeta de salida. No toca Azure en sí; solo lee los archivos que ya exportaste. Los valores de secretos están redactados en todos los informes, por lo que la salida se puede adjuntar de forma segura a los hallazgos.

Inicio rápido

# Clone / copy this folder, then from a PowerShell prompt:
.\Scan-MicroBurst.ps1 -Path .\MicroBurst-2026 -Verbose

O importa el módulo y usa el cmdlet directamente:

Import-Module .\MicroBurstSecretsHunter.psd1 -Force
Invoke-MBSecretScan -Path .\MicroBurst-2026

Los informes se escriben en una carpeta con marca de tiempo (MBSecretScan-<timestamp>) en el directorio actual, a menos que pases -OutputDirectory.

De forma predeterminada, cada valor está redactado, por lo que los informes son seguros de compartir. Los caracteres revelados se limitan a una cuarta parte de la longitud del valor (máximo 4 iniciales + 2 finales), y cualquier valor de 8 caracteres o menos se reemplaza con una máscara de ancho fijo — así una contraseña típica se muestra como ********, mientras que una clave de almacenamiento de 88 caracteres sigue siendo identificable como AAAA**********AA. Las cadenas de contexto se redactan antes de truncarse, y cada secreto encontrado en una línea se redacta del contexto de todos los hallazgos en esa línea, por lo que ningún texto plano sobrevive en un informe. Al revisar falsos positivos, suele ser más rápido ver el valor completo: pasa -ShowSecrets para emitir valores sin redactar en todos los lados (consola, CSV, HTML). La consola y el HTML muestran entonces un banner de advertencia claro, y los informes deben tratarse como material de credenciales vivo:

Invoke-MBSecretScan -Path .\dump -ShowSecrets        # raw values, for local triage

Funciona en Windows PowerShell 5.1 y PowerShell 7+ (Windows, Linux, macOS).

Qué obtienes

Cada ejecución produce tres cosas:

El cmdlet también emite objetos de hallazgo a la canalización, por lo que puedes posprocesar:

$f = Invoke-MBSecretScan -Path .\dump -Quiet
$f | Where-Object Severity -eq 'Critical' | Format-Table File,Line,RuleName

Qué detecta

El conjunto de reglas completo y editable se encuentra en Private/Get-MBSignature.ps1. Cada regla es un [PSCustomObject] con estos campos:

Emparejamiento estructurado de columnas CSV

Get-AzDomainInfo exporta las variables de cuentas de automatización y la configuración de aplicaciones como filas Name,Value[,Encrypted]. El secreto vive en la columna Value, mientras que la palabra clave que lo identifica (p. ej. ServiceAccountPwd, dbConnectionString) vive en la columna Name; por lo tanto, una expresión regular simple nunca los ve en la misma "línea" y la palabra clave queda enterrada dentro de un token compuesto sin límite de palabra.

Para archivos .csv / .tsv, el escáner además realiza un emparejamiento estructurado de columnas (Private/Get-MBCsvFinding.ps1):

• Modo Name/Value: clasifica la celda Name de cada fila; si es sensible y la celda Value contiene datos reales, se notifica. Las filas marcadas con Encrypted=True se omiten (el valor no es texto plano).
• Modo de columna sensible: si un encabezado de columna es en sí mismo sensible (una columna Password o StorageKey), se notifica cada celda que no sea un marcador de posición.

Los valores que ya cubre una regla de alta confianza (cadenas de conexión, claves de almacenamiento, SAS) se difieren al paso de línea sin procesar para una redacción más estricta, y los hallazgos se deduplican por categoría para que el mismo secreto nunca se notifique dos veces. Si un archivo no se puede analizar como CSV, el escáner recurre automáticamente al escaneo normal de líneas sin procesar.

Escaneo del lado del valor (-ScanValues)

El emparejamiento anterior se basa en el nombre de una configuración. Para detectar también secretos almacenados bajo un nombre sin significado (p. ej. Config1 = P@ssw0rd2026!), pasa -ScanValues. Inspecciona el contenido de las celdas de valor con dos heurísticas conservadoras de severidad Low:

• Similar a contraseña: de 8 a 64 caracteres, sin espacios en blanco, contiene un carácter especial fuerte (!@#$%^&* …) además de letras y otra clase. Se ignoran los valores con estilo de identificador como Standard_D2s_v3 (cuyos únicos símbolos son _ - .).
• Alta entropía: ≥ 16 caracteres, letras y dígitos mezclados, entropía de Shannon ≥ -MinEntropy. Se omiten rutas / URL / ID de recursos (cualquier cosa que contenga / o \) para evitar marcar ID de recursos.

En las tablas Name/Value escanea la columna Value; en las tablas de formato libre escanea todas las celdas. Esto cambia una mayor recuperación por más falsos positivos, por lo que está desactivado de forma predeterminada — actívalo para un barrido más profundo y luego revisa los hallazgos Low.

Manejo de falsos positivos

Los volcados de Azure están llenos de cadenas largas de apariencia aleatoria que no son secretos. El escáner las filtra:

• GUIDs (ID de suscripción / inquilino / recurso / objeto) nunca se marcan.

• Marcadores de posición y formas de valor no secretas — ********, null, <provide-at-deploy>, true/false, caracteres repetidos, tokens de plantilla (${var}, %VAR%), objetos/arrays JSON ({...}, [...], incluidos los multilínea), fechas/marcas de tiempo y nombres de tipo/colección .NET serializados (p. ej., una columna Secrets de un conjunto de escalado de VM que se muestra como System.Collections.Generic.List1[...VaultSecretGroup]) — se omiten. Ten en cuenta que esto se basa en la forma: una columna Secrets` que contiene un valor real en texto plano sigue marcándose.

• Campos benignos de metadatos de contraseña — columnas de directorio cuyo nombre contiene una palabra clave pero que solo describen la de la contraseña, nunca el secreto en sí (, , , , , …). Son comunes en exportaciones RBAC como / y no se marcan, mientras que una columna realmente llamada sí se marca. Las columnas de permisos de política de acceso de Key Vault (, , …) — que contienen verbos de permiso como — también se ignoran.

Parámetros clave

Estructura del proyecto

MicroBurstSecretsHunter.psd1     Module manifest
MicroBurstSecretsHunter.psm1     Module loader
Scan-MicroBurst.ps1              Convenience wrapper script
Public/
  Invoke-MBSecretScan.ps1        Main cmdlet (file walk, matching, reporting)
Private/
  Get-MBSignature.ps1            Detection rule set (edit to extend)
  Get-MBCsvFinding.ps1           Structured CSV Name/Value column pairing
  MBHelpers.ps1                  Entropy, redaction, context rendering,
                                 CSV field escaping, line windowing,
                                 placeholder/GUID filters
  Write-MBConsoleSummary.ps1     Console output
  New-MBHtmlReport.ps1           HTML report generator
tests/
  sample-dump/                   Example Get-AzDomainInfo-style fixture

Para probarlo con la muestra incluida:

.\Scan-MicroBurst.ps1 -Path .\tests\sample-dump

Límites de cobertura que la herramienta te comunica

Todo lo que el escáner no pudo leer es un punto ciego, y un punto ciego silencioso se lee como "no se ha encontrado nada aquí". Por eso el escáner es explícito al respecto:

• Los archivos que superan -MaxFileSizeMB producen un Write-Warning que los nombra, una línea NOT scanned en el resumen de consola y un banner en el informe HTML.
• Los archivos ilegibles (bloqueados, sin permisos) se cuentan de la misma manera; ejecuta con -Verbose para las rutas individuales.
• Las líneas largas no se truncan. El JSON minimizado de una sola línea es normal en las exportaciones de Azure, y una plantilla ARM de una línea de 14 KB puede ocultar fácilmente un AdminPassword más allá de cualquier corte fijo, por lo que las líneas se escanean en ventanas superpuestas de 8000 caracteres en su lugar. Las coincidencias duplicadas de la superposición se eliminan en la deduplicación.

Notas y advertencias

• La ausencia de detecciones no es prueba de seguridad. Trátalo como un multiplicador de fuerza para la revisión manual, no como un reemplazo de esta.
• De forma predeterminada, los informes redactan los valores de los secretos, pero aún revelan dónde viven los secretos, por lo que deben tratarse como artefactos sensibles del compromiso. Con -ShowSecrets contienen las credenciales completas en texto plano — guárdalas de forma segura y elimínalas después de la revisión.
• La herramienta es de solo lectura y no realiza llamadas de red.