HuntCyberArk - Suite d'audit de sécurité CyberArk

Un outil complet d'évaluation de sécurité basé sur PowerShell pour les plateformes CyberArk Privileged Access Management (PAM). Conçu pour les professionnels de la sécurité offensive, les red teamers et les testeurs d'intrusion.

Cet outil est conçu pour être exécuté À DISTANCE contre les serveurs CyberArk via le réseau. Il n'est pas nécessaire de l'exécuter sur les serveurs CyberArk eux-mêmes. Toutes les vérifications sont effectuées sur le réseau à l'aide de l'API PVWA, du scan de ports et des tests web.

Cet outil effectue des vérifications de sécurité incluant la conformité CIS Benchmark, les meilleures pratiques des fournisseurs, les tests en boîte noire, l'analyse de sécurité réseau, les vérifications de vulnérabilités CVE spécifiques (y compris les CVE 2025), la sécurité des identités machine, la gestion des secrets, l'évaluation des privilèges permanents zéro (ZSP), la gouvernance des identités et des contrôles de sécurité renforcés.

Fonctionnalités clés

## Phases d'audit et exigences d'authentification L'audit se déroule en deux phases, chacune avec des exigences d'authentification différentes : ### Phase 1 : Vérifications non authentifiées (aucun identifiant requis) Tests externes/boîte noire qui peuvent être exécutés sans aucun identifiant : - Sécurité réseau (scan de ports, exposition du port du coffre) - Analyse de la configuration TLS/SSL et des certificats - Sécurité web en boîte noire (points de terminaison exposés, divulgation d'informations) - En-têtes de sécurité PVWA et sécurité des cookies - Tests de vulnérabilité spécifiques aux CVE (y compris les CVE 2025) - Tests de sécurité des API (points de terminaison non authentifiés) - Détection de version des composants - Détection d'attaques temporelles - Tests de sécurité JWT/OAuth2 - Découverte de points de terminaison WebSocket - Tests de contournement WAF - Tests des points de terminaison d'authentification CyberArk Identity/Privilege Cloud (StartAuthentication, ForgotUsername) **Cas d'utilisation** : Tests d'intrusion, évaluations de sécurité externes, reconnaissance rapide ### Phase 2 : Vérifications authentifiées (identifiants API CyberArk requis) Audits de configuration approfondis nécessitant un accès à l'API REST CyberArk : - Configurations et permissions des coffres - Paramètres de gestion des comptes et des identifiants - Configurations de plateforme - Comptes utilisateurs et permissions du coffre - Paramètres des méthodes d'authentification - État de santé des composants - Configurations Master Policy, PSM, CPM, PTA - Sécurité des identités machines (comptes de service, AppIDs) - Gestion des secrets (configuration CP/CCP) - Zéro privilège permanent (évaluation de l'accès JIT) - Gouvernance des identités (identités orphelines, dérive des permissions) - Sécurité cloud (intégration AWS/Azure/GCP) - Reprise après sinistre (coffre DR, santé du cluster HA) - Cartographie de conformité (NIST, SOC 2, PCI-DSS) - Intégration Secrets Hub (synchronisation cloud-native des secrets) - Sécurité de l'accès à distance / Alero - Sécurité des secrets Kubernetes - Sécurité des pipelines DevSecOps - Vérifications spécifiques à Privilege Cloud / SaaS - Intégration CyberArk Identity / Idaptive - Sécurité des plugins personnalisés - Sécurité des sauvegardes - Intégration HSM - Détection avancée PTA - Intégrations tierces (SIEM, ITSM, SOAR) - Métriques d'hygiène opérationnelle - Simulation de chemins d'attaque - Intégrité de la chaîne d'approvisionnement - Segmentation réseau **Permissions requises** : Rôle d'administrateur du coffre ou d'auditeur recommandé ## Fonctionnalités ### Catégories de vérifications de sécurité | Category | Control Prefix | Description | |----------|---------------|-------------| | CIS Benchmark | 1.x - 8.x | Conformité CIS CyberArk PAM Benchmark v1.0 | | Vendor Best Practices | V1.x - V8.x | Recommandations de durcissement de sécurité CyberArk | | Blackbox Testing | BB1 - BB11 | Tests de sécurité externes sans authentification | | Network Security | NET1 - NET7 | Scan de ports et analyse d'exposition réseau | | TLS Security | TLS1 - TLS4 | Configuration SSL/TLS et analyse des chiffrements | | CVE Checks | CVE1 - CVE23 | Détection de vulnérabilités CyberArk connues (2018-2025) | | Security Bulletins | CA25-x | Vérifications des bulletins de sécurité CyberArk | | API Security | API1 - API5 | Tests de sécurité de l'API REST | | Authentication Security | AUTH1 - AUTH2 | Tests des points de terminaison d'authentification CyberArk Identity/Privilege Cloud | | **Advanced Security** | | | | Machine Identity | MID1 - MID9 | Sécurité des comptes de service, AppID et AIM Provider | | Secrets Management | SEC1 - SEC14 | Sécurité du Credential Provider/CCP et Conjur | | Zero Standing Privileges | ZSP1 - ZSP5 | Évaluation de l'accès JIT et des privilèges | | Identity Governance | IGA1 - IGA8 | Gestion du cycle de vie et des permissions | | EPM Integration | EPM1 - EPM6 | Vérifications EPM (Endpoint Privilege Manager) | | Cloud Security | CLD1 - CLD6 | Vérifications Secure Cloud Access | | Disaster Recovery | DR1 - DR5 | Configuration HA et DR | | Compliance Mapping | COMP1 - COMP4 | Alignement NIST, SOC2, PCI-DSS | | Audit Logging | AUD1 - AUD4 | Validation SIEM et journalisation | | **Security Posture Expansion** | | | | Secrets Hub | SH1 - SH6 | Santé de la synchronisation cloud, latence, dérive de version | | Remote Access / Alero | RA1 - RA6 | Invitation de fournisseur, MFA, limites de session, liaison d'appareil | | Kubernetes Secrets | K8S1 - K8S8 | Secrets Provider, RBAC, sécurité des pods, Conjur follower | | DevSecOps Pipeline | DSO1 - DSO6 | Récupération de secrets CI/CD, détection de prolifération, jetons de courte durée | | Privilege Cloud | PC1 - PC5 | Santé du connecteur, isolation du locataire, intégration ISP | | CyberArk Identity | IDN1 - IDN6 | Intégration SSO, MFA adaptative, score de risque de session | | Custom Plugins | PLG1 - PLG5 | Sécurité des plugins PSM/CPM, signatures numériques, ACL | | Backup Security | BKP1 - BKP5 | Chiffrement, permissions de fichiers, test de restauration | | HSM Integration | HSM1 - HSM4 | Santé HSM, wrapping de clés, isolation de partition | | PTA Deep Dive | PTAD1 - PTAD6 | Règles personnalisées, qualité ML, UEBA, fatigue d'alerte | | Third-Party Integration | TPI1 - TPI5 | Connectivité SIEM/ITSM/SOAR, santé des identifiants | | Operational Hygiene | OPS1 - OPS8 | File d'attente d'onboarding, échecs CPM, métriques PSM, licence | | Attack Path Simulation | APS1 - APS6 | PtH, relais NTLM, Kerberoasting, escalade de privilèges | | Supply Chain Integrity | SCI1 - SCI5 | Hachages de fichiers, actualité des correctifs, signature de code | | Network Segmentation | NSG1 - NSG5 | Isolation du coffre, ACL des composants, surveillance Est-Ouest | ### Couverture détaillée des vérifications #### Conformité CIS Benchmark (1.x - 8.x) - Configuration de serveur dédié pour le coffre - Règles de pare-feu et durcissement des services - Paramètres de mot de passe de la Master Policy - Complexité et expiration des mots de passe - Accès et permissions du coffre - Gestion automatique des mots de passe - Sécurité MFA et LDAP - Enregistrement de session PSM - Journalisation d'audit et intégration SIEM - Configuration TLS #### Meilleures pratiques du fournisseur (V1.x - V8.x) - Paramètres de la Master Policy (période de validité, mots de passe à usage unique, accès exclusif) - Enregistrement PSM, journalisation des frappes, restrictions du presse-papiers - Règles de découverte et d'onboarding des comptes - Détection d'anomalies PTA - Sécurité des composants de connexion - Comptes liés (connexion/réconciliation) - En-têtes de sécurité HTTP PVWA - Configuration du service CPM #### Tests de sécurité en boîte noire (BB1 - BB11) - Points de terminaison sensibles exposés (Swagger, docs API, pages admin) - Divulgation d'informations (version, traces de pile) - Test d'identifiants par défaut - Méthodes HTTP dangereuses (PUT, DELETE, TRACE) - Attributs de sécurité des cookies (Secure, HttpOnly, SameSite) - Mauvaise configuration CORS - Exposition de fichiers de sauvegarde/configuration - Liste de répertoires - Problèmes de certificat SSL/TLS - Détection de limitation de débit - Modèles de vulnérabilité connus #### Sécurité de l'authentification CyberArk Identity / Privilege Cloud (AUTH1 - AUTH2) - **Divulgation d'informations StartAuthentication** : Détecte l'exposition de données sensibles, notamment : - Exposition de l'ID de session dans les réponses pré-authentification - Énumération d'utilisateurs via les défis d'authentification (utilisateurs valides vs invalides) - Divulgation du mécanisme MFA (UP, SMS, EMAIL, OATH, QR, etc.) - Divulgation d'email/IPS dans les réponses d'authentification - Exposition de l'ID de locataire - Détails de configuration d'authentification - **Énumération du point de terminaison ForgotUsername** : Teste l'énumération de noms d'utilisateur via la récupération de mot de passe : - Détection de disponibilité de la fonctionnalité - Analyse différentielle des réponses pour utilisateurs valides vs invalides #### Sécurité réseau (NET1 - NET7) - **Scan de ports** : Scan complet des ports spécifiques à CyberArk - PVWA (443, 80) - Coffre (1858, 1859) - Administration (RDP, SSH, WinRM) - Base de données (MSSQL, MySQL, PostgreSQL, Oracle) - Protocoles (SMB, NetBIOS, LDAP, SNMP) - Analyse de sécurité du port du coffre (1858) - Configuration de sécurité DNS #### Sécurité TLS/SSL (TLS1 - TLS4) - Détection de protocoles faibles (SSLv2, SSLv3, TLS 1.0, TLS 1.1) - Analyse de la force des suites de chiffrement - Détection de chiffrements faibles (RC4, DES, 3DES, MD5, NULL, EXPORT) - Validation de certificat - Vérification de la taille de clé - Vérification de l'algorithme de signature #### Vérifications de vulnérabilités spécifiques aux CVE (CVE1 - CVE23) - **CVE-2018-9842** : Divulgation de mémoire du coffre via le port 1858 - **CVE-2018-9843** : RCE par désérialisation PVWA (pré-authentification) - **CVE-2019-7442** : XXE dans l'authentification SAML - **CVE-2021-31796** : Exploitation de fichiers d'identifiants distants (sonde les fichiers .cred exposés, analyse VerificationsFlag pour déterminer si les mots de passe peuvent être déchiffrés) - **CVE-2021-37151** : Énumération de noms d'utilisateur CyberArk Identity via la longueur de réponse MFA (Moyenne) - Détectée via la vérification de divulgation d'informations StartAuthentication - **CVE-2022-22700** : Énumération de noms d'utilisateur CyberArk Identity via l'en-tête temporel X-CFY-TX-TM (Moyenne) - Détectée via la vérification de divulgation d'informations StartAuthentication - **CWE-200** : Divulgation d'informations du point de terminaison StartAuthentication (ID de session, mécanismes MFA, ID de locataire, configuration d'authentification) - **CWE-203** : Énumération de noms d'utilisateur du point de terminaison ForgotUsername via divergence observable - **CVE-2024-42340** : Contournement de l'application côté client CWE-602 - **CVE-2024-42339** : IDOR / Divulgation d'informations sensibles - **CVE-2024-54840** : Injection d'en-tête d'hôte PVWA (Moyenne) - **CVE-2024-57967** : Escalade de privilèges par mappage LDAP PVWA (Moyenne) - **CVE-2025-22270** : Injection HTML EPM dans la gestion des rôles - **CVE-2025-22271** : Usurpation X-Forwarded-For EPM - **CVE-2025-22272** : XSS EPM via modalDlgMsgInternal - **CVE-2025-22273** : Force brute de changement de mot de passe EPM - **CVE-2025-22274** : Injection de définition d'application EPM - **CVE-2025-49827** : Contournement de l'authentificateur IAM Secrets Manager (Critique) - **CVE-2025-49828** : Exécution de code à distance Secrets Manager (Élevée) - **CVE-2025-49829** : Validations manquantes Secrets Manager (Modérée) - **CVE-2025-49830** : Traversée de chemin et divulgation de fichiers Secrets Manager (Élevée) - **CVE-2025-49831** : Contournement réseau Secrets Manager (Critique) - Bulletins de sécurité : CA25-25, CA25-29, CA25-32, CA25-34, CA25-35 - Vérifications supplémentaires : Traversée de chemin, indicateurs Log4Shell, versions d'API héritées - Tiers : pollution de prototype ag-grid (CVE-2024-38996), Log4Shell (CVE-2021-44228) #### Tests de sécurité API (API1 - API5) - **BOLA/IDOR** : Autorisation au niveau objet brisée - **Tests d'injection** : Injection SQL, injection LDAP - **Assignation en masse** : Injection de propriétés privilégiées - **Versionnage d'API** : Détection de points de terminaison d'API hérités #### Vérifications de sécurité avancées - Détection de versions de composants et mappage CVE - Sécurité de session (fixation, sessions concurrentes) - Injection d'en-tête (en-tête Host, CRLF) - Tests de vulnérabilité XXE sur les points de terminaison SOAP #### Sécurité des identités machines (MID1 - MID9) - Énumération des comptes de service et analyse des privilèges - Validation de la rotation des mots de passe d'identité machine - Détection de comptes de service sur-privilégiés - Configuration d'authentification par certificat - Validation de sécurité AppID (machines autorisées, restrictions d'utilisateur OS) - Détection d'identités machines obsolètes - Vérification du déploiement AIM Provider - Sécurité de configuration AIM Provider - Connectivité du coffre AIM Provider #### Gestion des secrets (SEC1 - SEC14) - Vérification du déploiement Credential Provider (CP/CCP) - Analyse de la force de la méthode d'authentification AppID - Validation de la configuration des machines autorisées - Paramètres de TTL du cache et d'intervalle de rafraîchissement - Configuration TLS/mTLS CCP - Application de la politique de rotation des secrets - Détection de secrets orphelins/non gérés - Analyse de prolifération des identifiants - Santé de l'intégration Conjur - Validation de la politique MAML - Configuration d'authentificateur (LDAP, OIDC, IAM, K8s) - Chiffrement de base de données Conjur - Politique de rotation des clés API - Journalisation d'audit Conjur #### Zéro privilège permanent (ZSP1 - ZSP5) - Détection d'accès privilégié permanent - Validation du flux de travail à double contrôle - Vérifications des limites de sessions concurrentes - Application de l'enregistrement/retrait (check-in/check-out) - Recommandations de réduction des privilèges permanents - Score de préparation JIT #### Gouvernance des identités (IGA1 - IGA8) - Détection d'identités orphelines - Analyse de dérive des permissions - Détection de comptes utilisateurs inactifs - Analyse d'appartenance excessive à des coffres - Statut de certification des accès - Prolifération d'appartenance aux rôles/groupes - Âge de la file d'attente des comptes en attente - Détection d'écart de propriété de compte #### Intégration EPM (EPM1 - EPM6) *Nécessite l'URL EPM et une authentification facultative* - Vérification du statut d'intégration EPM - Évaluation de sécurité de la politique par défaut - Validation du mode de contrôle des applications - Statut de protection contre le vol d'identifiants - Exigences de justification des demandes d'élévation - Configuration de la journalisation d'audit EPM #### Sécurité cloud (CLD1 - CLD6) - Statut d'intégration du fournisseur cloud (AWS, Azure, GCP) - Configuration d'identité fédérée - Validation de la politique de synchronisation des secrets cloud - Évaluation d'intégration CIEM - Analyse de liaison de rôle IAM cloud - Cohérence des politiques multi-cloud #### Reprise après sinistre (DR1 - DR5) - Statut de réplication du coffre DR - Vérification de santé du cluster HA - Évaluation de redondance des composants - Validation de la configuration de sauvegarde - Disponibilité du compte d'urgence (break-glass) #### Cartographie de conformité (COMP1 - COMP4) - Cartographie du cadre de cybersécurité NIST - Indicateurs d'alignement SOC 2 Type II - Contrôles pertinents PCI-DSS - Score de maturité CyberArk Blueprint #### Journalisation d'audit (AUD1 - AUD4) - Santé de l'intégration SIEM - Configuration de rétention des journaux d'audit - Validation des alertes d'événements critiques - Vérification de l'intégrité des données d'audit #### Sécurité Active Directory (AD1 - AD7) - inspiré par zBang *Nécessite une connectivité au domaine et le paramètre `-IncludeADChecks`* - **Découverte d'admin fantôme** : Détecter les comptes avec des permissions ACL directes sur des objets privilégiés - **Détection de clé squelette** : Vérifier les indicateurs de malware Skeleton Key sur les contrôleurs de domaine - **Analyse de l'historique SID** : Identifier les comptes avec des attributs SID History privilégiés - **Configuration SPN risquée** : Trouver les comptes utilisateurs avec des SPN (cibles Kerberoasting) - **Délégation non contrainte** : Découvrir les comptes avec délégation Kerberos non contrainte - **Délégation contrainte avec transition de protocole** : Détecter le potentiel d'abus S4U2Self - **Audit des privilèges de délégation** : Résumé complet de la configuration de délégation #### Secrets Hub (SH1 - SH6) *Nécessite `-IncludeSecretsHubChecks` et éventuellement `-SecretsHubUrl`* - Surveillance de la santé de synchronisation Secrets Hub - Mesure de la latence de synchronisation - Détection de dérive de version entre source et cibles - Analyse du taux d'échec de synchronisation - Validation de la configuration cible - Journalisation d'audit Secrets Hub #### Accès à distance / Alero (RA1 - RA6) *Nécessite `-IncludeRemoteAccessChecks` et éventuellement `-AleroUrl`* - Sécurité du flux de travail d'invitation de fournisseur - Configuration des limites de temps de session - Exigences de liaison biométrique/appareil - Complétude du journal d'audit d'accès à distance - Application de la revue d'accès périodique - Application MFA pour l'accès à distance #### Secrets Kubernetes (K8S1 - K8S8) *Nécessite `-IncludeK8sChecks` et éventuellement `-K8sNamespace`, `-ConjurApplianceUrl`* - Vérification du mode de déploiement Secrets Provider - Validation du contexte de sécurité pod - Authentification JWT du compte de service - Rotation des secrets Kubernetes - Configuration RBAC pour les secrets - Permissions des secrets montés - Santé du Conjur follower - Journalisation d'audit Kubernetes #### Pipeline DevSecOps (DSO1 - DSO6) *Nécessite `-IncludeDevSecOpsChecks`* - Modèles de récupération de secrets CI/CD - Détection de prolifération de secrets dans le pipeline - Validation de l'utilisation de jetons de courte durée - Journalisation d'audit du pipeline - Détection de secrets dans les artefacts de construction - Liaison d'identité du pipeline #### Privilege Cloud (PC1 - PC5) *Nécessite `-IncludePrivilegeCloudChecks` ou `-PrivilegeCloudTenant` ou `-IsPrivilegeCloud`* - Santé du connecteur Privilege Cloud - Intégration de la plateforme de sécurité des identités - Sécurité de l'API Privilege Cloud - Validation de l'isolation du locataire - Redondance du connecteur cloud #### CyberArk Identity (IDN1 - IDN6) *Nécessite `-IncludeIdentityChecks` ou `-IdentityTenantUrl`* - Intégration SSO avec PVWA - Configuration de la politique MFA adaptative - Synchronisation du cycle de vie des identités - Score de risque de session - Intégration d'audit d'identité - Politiques du catalogue d'applications privilégiées #### Plugins personnalisés (PLG1 - PLG5) *Nécessite `-IncludePluginChecks`* - Sécurité du connecteur PSM personnalisé - Risques d'injection de plugin CPM personnalisé - Détection de composants non autorisés/obsolètes - Validation de signature numérique du plugin - Permissions de fichiers de scripts personnalisés #### Sécurité des sauvegardes (BKP1 - BKP5) *Nécessite `-IncludeBackupSecurityChecks` et éventuellement `-BackupPath`* - Chiffrement de la sauvegarde du coffre - Permissions des fichiers de sauvegarde - Chiffrement en transit de la sauvegarde - Test de restauration de sauvegarde - Politique de rétention des sauvegardes #### Intégration HSM (HSM1 - HSM4) *Nécessite `-IncludeHSMChecks` et éventuellement `-HSMProvider`* - Connectivité et santé HSM - Configuration de wrapping de clés HSM - Isolation de partition HSM - Actualité du firmware HSM #### Analyse approfondie PTA (PTAD1 - PTAD6) *Nécessite `-IncludePTADeepDive`* - Règles de détection personnalisées PTA - Qualité du modèle ML PTA - Fatigue d'alerte PTA (analyse des faux positifs) - Couverture des règles de détection PTA - Intégration UEBA PTA - Actions de réponse automatisée PTA #### Intégration tiers (TPI1 - TPI5) *Nécessite `-IncludeThirdPartyChecks` et éventuellement `-ServiceNowUrl`, `-SIEMUrl`* - Intégration ITSM (ServiceNow) - Playbooks de réponse automatisée SOAR - Corrélation d'événements SIEM PAM - Santé du transmetteur de logs SIEM - Santé des identifiants d'intégration #### Hygiène opérationnelle (OPS1 - OPS8) *Nécessite `-IncludeOperationalChecks`* - Métriques de file d'attente d'onboarding des comptes - Taux d'échec de changement de mot de passe CPM - Ratios de succès/échec de session PSM - Arriéré de réconciliation CPM - Erreurs de connexion de plateforme - Utilisation et capacité du coffre - Conformité des licences - Disponibilité des composants #### Simulation de chemins d'attaque (APS1 - APS6) *Nécessite `-IncludeAttackPathChecks`* - Chemins d'escalade du poste de travail vers PAM - Surface d'attaque Pass-the-Hash - Risques de relais NTLM - Résistance à l'extraction d'identifiants mis en cache - Exposition Kerberoasting - Chemins d'escalade de privilèges #### Intégrité de la chaîne d'approvisionnement (SCI1 - SCI5) *Nécessite `-IncludeSupplyChainChecks`* - Validation de hachage de fichier de composant - Vérification de l'actualité des correctifs - Vulnérabilités de bibliothèques tierces - Validation de signature numérique - Vérification de l'origine du composant #### Segmentation réseau (NSG1 - NSG5) *Nécessite `-IncludeNetworkSegmentationChecks`* - Isolation réseau du coffre - Restrictions de communication PSM vers coffre - Segmentation PVWA vers backend - Surveillance du trafic Est-Ouest - ACL réseau spécifiques aux composants ## Prérequis ### Prérequis logiciels | Component | Version | Notes | |-----------|---------|-------| | PowerShell | 7.0+ | PowerShell 7.x requis (Windows PowerShell 5.1 non supporté) | | .NET Framework | 4.5+ | Requis pour les opérations TLS/SSL et réseau | | CyberArk PVWA | v12+ | API REST v12 ou ultérieure pour une compatibilité complète | ### Exigences d'accès par phase | Phase | Requirement | Purpose | |-------|-------------|---------| | Phase 1 | Accès réseau à PVWA | Tests en boîte noire, scan de ports, analyse TLS | | Phase 2 | Identifiants API CyberArk | Audits de configuration, vérifications de politiques | ### Exigences d'identifiants pour les vérifications authentifiées Pour la Phase 2 (vérifications authentifiées), vous avez besoin d'identifiants CyberArk avec l'un de ces rôles : - **Administrateur du coffre** : Accès complet à tous les paramètres de configuration et de sécurité - **Auditeur** : Accès en lecture seule aux configurations d'audit (recommandé pour les évaluations de sécurité) - **Propriétaires de coffre** : Limitée aux coffres dont ils sont propriétaires (couverture d'audit partielle) ### Fonctionnalités Windows utilisées Le script utilise ces fonctionnalités Windows/PowerShell (aucune installation requise) : | Feature | Used For | |---------|----------| | `System.Net.Sockets.TcpClient` | Scan de ports, sécurité du port du coffre | | `System.Net.Security.SslStream` | Énumération des protocoles et chiffrements TLS/SSL | | `Invoke-WebRequest` / `Invoke-RestMethod` | Tests HTTP, appels API | ## Démarrage rapide```powershell # 1. Verify PowerShell version (need 7.0+) $PSVersionTable.PSVersion # 2. Enable TLS 1.2 [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12 # 3. Run unauthenticated scan (no credentials needed) .\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -UnauthenticatedOnly # 4. Run full scan with authentication .\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -AuthType LDAP

## Paramètres | Paramètre | Requis | Défaut | Description | |-----------|--------|--------|-------------| | PVWA | Oui | - | URL du serveur PVWA (ex. https://pvwa.domaine.com) | | AuthType | Non | CyberArk | Méthode d'authentification : CyberArk, LDAP, RADIUS, SAML | | OutputPath | Non | Répertoire courant | Répertoire de sortie du rapport | | Credential | Non | Invite | PSCredential pour l'authentification | | **Paramètres à ignorer** | | | | | SkipPortScan | Non | False | Ignorer le balayage des ports réseau | | SkipCVEChecks | Non | False | Ignorer les tests de vulnérabilités spécifiques aux CVE | | SkipAPITests | Non | False | Ignorer les tests de sécurité de l'API | | SkipAuthenticatedChecks | Non | False | Ignorer toutes les vérifications authentifiées de la Phase 2 | | SkipSecretsChecks | Non | False | Ignorer les vérifications de Secrets Management (SEC1-SEC14) | | SkipMachineIdentity | Non | False | Ignorer les vérifications d'identité machine (MID1-MID9) | | SkipIGAChecks | Non | False | Ignorer les vérifications de gouvernance des identités (IGA1-IGA8) | | SkipCloudChecks | Non | False | Ignorer les vérifications de sécurité cloud (CLD1-CLD6) | | SkipDRChecks | Non | False | Ignorer les vérifications de reprise après sinistre (DR1-DR5) | | SkipDefaultCredentialTests | Non | False | Ignorer les tests d'identifiants par défaut/faibles (BB3) | | SkipSecretsHubChecks | Non | False | Ignorer les vérifications de Secrets Hub (SH1-SH6) | | SkipRemoteAccessChecks | Non | False | Ignorer les vérifications d'accès à distance/Alero (RA1-RA6) | | SkipK8sChecks | Non | False | Ignorer les vérifications Kubernetes (K8S1-K8S8) | | SkipDevSecOpsChecks | Non | False | Ignorer les vérifications DevSecOps (DSO1-DSO6) | | SkipPrivilegeCloudChecks | Non | False | Ignorer les vérifications Privilege Cloud (PC1-PC5) | | SkipIdentityChecks | Non | False | Ignorer les vérifications CyberArk Identity (IDN1-IDN6) | | SkipPluginChecks | Non | False | Ignorer les vérifications des plugins personnalisés (PLG1-PLG5) | | SkipBackupSecurityChecks | Non | False | Ignorer les vérifications de sécurité des sauvegardes (BKP1-BKP5) | | SkipHSMChecks | Non | False | Ignorer les vérifications d'intégration HSM (HSM1-HSM4) | | SkipPTADeepDive | Non | False | Ignorer les vérifications approfondies PTA (PTAD1-PTAD6) | | SkipThirdPartyChecks | Non | False | Ignorer les vérifications d'intégration tierce (TPI1-TPI5) | | SkipOperationalChecks | Non | False | Ignorer les vérifications d'hygiène opérationnelle (OPS1-OPS8) | | SkipAttackPathChecks | Non | False | Ignorer les vérifications de simulation de chemins d'attaque (APS1-APS6) | | SkipSupplyChainChecks | Non | False | Ignorer les vérifications d'intégrité de la chaîne d'approvisionnement (SCI1-SCI5) | | SkipNetworkSegmentationChecks | Non | False | Ignorer les vérifications de segmentation réseau (NSG1-NSG5) | | **Paramètres de mode** | | | | | UnauthenticatedOnly | Non | False | Exécuter uniquement la Phase 1 (aucun identifiant requis) | | IncludeEPMChecks | Non | False | Inclure les vérifications d'intégration EPM | | ComplianceMapping | Non | False | Générer le mapping des cadres de conformité | | **Exécution sélective** | | | | | OnlyPortScan | Non | False | Exécuter UNIQUEMENT les vérifications de balayage de ports | | OnlyCVEChecks | Non | False | Exécuter UNIQUEMENT les vérifications de vulnérabilités CVE | | OnlyAuthenticatedChecks | Non | False | Exécuter UNIQUEMENT les vérifications d'API authentifiées | | OnlyNetworkChecks | Non | False | Exécuter UNIQUEMENT les vérifications de sécurité réseau (TLS, ports, DNS) | | OnlyBlackboxChecks | Non | False | Exécuter UNIQUEMENT les vérifications boîte noire non authentifiées | | **Paramètres des outils CyberArk** | | | | | IncludeADChecks | Non | False | Activer les vérifications de sécurité Active Directory (inspirée par zBang) | | IncludeConjurChecks | Non | False | Activer les vérifications d'intégration Conjur/Secrets Manager | | ConjurUrl | Non | - | URL du serveur Conjur pour les vérifications d'intégration | | DomainController | Non | - | Contrôleur de domaine pour les requêtes de sécurité AD | | **Paramètres Red Team** | | | | | OPSECMode / Stealth | Non | False | Activer le mode OPSEC/furtif avec délais et bruit réduit | | Proxy | Non | - | URL du proxy pour le routage du trafic (ex. http://127.0.0.1:8080) | | ProxyCredential | Non | - | Identifiants pour le proxy authentifié | | IgnoreCertificateErrors | Non | False | Ignorer la validation des certificats SSL/TLS | | RequestDelay | Non | 0 | Délai entre les requêtes en secondes (0-60) | | Jitter | Non | 0 | Pourcentage de gigue aléatoire (0-100) pour la variation temporelle | | UserAgent | Non | - | Chaîne User-Agent personnalisée | | RandomizeUserAgent | Non | False | Alterner entre des chaînes User-Agent courantes | | IncludeTimingAttacks | Non | False | Activer la détection de vulnérabilités temporelles | | IncludeJWTTests | Non | False | Activer les tests de sécurité JWT/OAuth2 | | IncludeWebSocketTests | Non | False | Activer la découverte de points de terminaison WebSocket | | IncludeWAFEvasion | Non | False | Activer les tests de contournement WAF/IDS | | NoLogo | Non | False | Supprimer l'affichage de la bannière | | QuietMode | Non | False | Réduire la sortie console (messages d'info supprimés) | | EnablePasswordSpraying | Non | False | Activer le pulvérisation de mots de passe (nécessite confirmation explicite) | | **Paramètres de performance** | | | | | ParallelExecution | Non | False | Activer l'exécution parallèle pour des scans plus rapides | | MaxThreads | Non | 5 | Nombre maximum de threads simultanés (1-20) | | **Paramètres EPM** | | | | | EPMUrl | Non | - | URL du serveur EPM pour les vérifications d'intégration EPM | | **Paramètres de posture de sécurité** | | | | | IncludeSecretsHubChecks | Non | False | Activer les vérifications de synchronisation cloud Secrets Hub | | SecretsHubUrl | Non | - | URL de Secrets Hub pour les vérifications d'intégration | | IncludeRemoteAccessChecks | Non | False | Activer les vérifications d'accès à distance/Alero | | AleroUrl | Non | - | URL d'Alero pour les vérifications d'accès fournisseur | | IncludeK8sChecks | Non | False | Activer les vérifications de secrets Kubernetes/Conteneurs | | K8sNamespace | Non | default | Espace de noms Kubernetes pour les vérifications de secrets | | ConjurApplianceUrl | Non | - | URL de l'appliance Conjur pour l'intégration K8s | | IncludeDevSecOpsChecks | Non | False | Activer les vérifications de sécurité de pipeline DevSecOps | | IncludePrivilegeCloudChecks | Non | False | Activer les vérifications spécifiques Privilege Cloud/SaaS | | IsPrivilegeCloud | Non | False | Indiquer que la cible est Privilege Cloud SaaS | | PrivilegeCloudTenant | Non | - | Identifiant du locataire Privilege Cloud | | IncludeIdentityChecks | Non | False | Activer les vérifications CyberArk Identity/Idaptive | | IdentityTenantUrl | Non | - | URL du locataire CyberArk Identity | | IncludePluginChecks | Non | False | Activer les vérifications de sécurité des plugins personnalisés | | IncludeBackupSecurityChecks | Non | False | Activer les vérifications de sécurité des sauvegardes | | BackupPath | Non | - | Chemin vers les fichiers de sauvegarde Vault pour analyse | | IncludeHSMChecks | Non | False | Activer les vérifications d'intégration HSM | | HSMProvider | Non | - | Type de fournisseur HSM (Thales, nCipher, SafeNet, AWSCloudHSM, AzureHSM, Autre) | | IncludePTADeepDive | Non | False | Activer les vérifications avancées de détection PTA | | IncludeThirdPartyChecks | Non | False | Activer les vérifications d'intégration SIEM/ITSM/SOAR | | ServiceNowUrl | Non | - | URL de ServiceNow pour les vérifications ITSM | | SIEMUrl | Non | - | URL du SIEM pour les vérifications de corrélation d'événements | | IncludeOperationalChecks | Non | False | Activer les métriques d'hygiène opérationnelle | | IncludeAttackPathChecks | Non | False | Activer les vérifications de simulation de chemins d'attaque | | IncludeSupplyChainChecks | Non | False | Activer les vérifications d'intégrité de la chaîne d'approvisionnement | | IncludeNetworkSegmentationChecks | Non | False | Activer les vérifications de segmentation réseau | | **Autres paramètres** | | | | | PortScanTimeout | Non | 1000 | Délai d'attente de connexion pour le balayage de ports (ms) | | VerboseOutput | Non | False | Activer la journalisation détaillée | ## Sortie Le script génère des rapports complets en trois formats, conçus pour faciliter la rédaction de rapports d'évaluation de sécurité détaillés : ### Formats de rapport #### 1. Rapport HTML (Tableau de bord interactif) Un rapport HTML moderne et interactif comprenant : - **Table des matières** : Navigation rapide vers toutes les sections du rapport - **Résumé exécutif** : Évaluation globale du risque, pourcentage de conformité, indicateurs clés - **Section des risques clés** : Les 10 principaux résultats critiques/élevés avec impact métier - **Matrice de conformité CIS Benchmark** : Statut de conformité contrôle par contrôle - **Tableau détaillé des constats** : Lignes extensibles avec preuves complètes et étapes de remédiation - Cliquez sur un constat pour révéler : preuve, détails techniques, description du risque, impact métier, score CVSS, étapes de remédiation et références - **Preuve de concept (PoC)** : Preuve de requête/réponse pour les rapports de tests d'intrusion (lorsque disponible) - **Feuille de route de remédiation** : Calendrier priorisé (24h/1sem/30j/90j) - **Analyse par composant** : Constats regroupés par composant CyberArk (Vault, CPM, PSM, PVWA, PTA) - **Vérifications ignorées** : Exigences de vérification manuelle avec conseils de suivi - **Prêt pour l'impression** : Développe automatiquement tous les constats lors de l'impression #### 2. Rapports CSV (7 fichiers séparés) Génère plusieurs fichiers CSV pour différents publics : | Fichier | Objectif | Public | |------|---------|----------| | `Executive_Summary.csv` | Métriques de haut niveau et vue d'ensemble des risques | Direction, Management | | `Full_Findings.csv` | Constats complets avec plus de 20 champs | Analystes de sécurité | | `Failed_Findings.csv` | Vérifications échouées uniquement, triées par sévérité | Équipes de remédiation | | `Remediation_Tracker.csv` | Suivi actionable avec AssignéÀ, Statut, DateLimite | Opérations IT | | `Skipped_Checks.csv` | Vérifications nécessitant une vérification manuelle | Auditeurs | | `CIS_Compliance_Matrix.csv` | Statut de conformité contrôle par contrôle | Responsables de conformité | | `Component_Summary.csv` | Constats regroupés par composant | Propriétaires de composants | #### 3. Rapport JSON (Données structurées) Données structurées complètes pour une analyse programmatique :```json { "reportInfo": { "title", "generatedAt", "version" }, "auditMetadata": { "target", "auditDate", "auditorInfo" }, "executiveSummary": { "overallRiskRating": "Fair", "riskScore": 45, "keyMetrics": { "totalChecks", "passed", "failed", "compliance%" }, "findingsBySeverity": { "critical", "high", "medium", "low" }, "keyRisks": [ /* top 10 findings */ ], "immediatePriorities": [ /* critical recommendations */ ] }, "complianceAnalysis": { "overallCompliance": 78.5, "cisControlsCompliance": { /* per-control matrix */ } }, "componentAnalysis": { /* findings by component */ }, "categoryAnalysis": { /* findings by category */ }, "remediationRoadmap": { "immediate": { "timeframe": "24-48 hours", "findings": [] }, "urgent": { "timeframe": "1 week", "findings": [] }, "standard": { "timeframe": "30 days", "findings": [] }, "routine": { "timeframe": "90 days", "findings": [] } }, "detailedFindings": { "failed", "passed", "all" }, "skippedChecks": { "summary", "requiresFollowUp", "all" }, "appendix": { "glossary", "severityDefinitions", "riskScoreExplanation" } }

Audit à distance	Toutes les vérifications effectuées à distance via le réseau - pas besoin d'installation sur les serveurs CyberArk
Mode OPSEC	Scan furtif avec délais configurables, gigue et empreinte de détection réduite
Support proxy	Acheminement de tout le trafic via Burp Suite, ZAP ou d'autres proxies d'interception
Attaques temporelles	Détection de l'énumération d'utilisateurs et d'injection aveugle via l'analyse des temps de réponse
Sécurité JWT	Test de contournement d'algorithme none, confusion de clés, algorithmes de signature faibles
Test WebSocket	Découverte des points de terminaison en temps réel et test de détournement WebSocket intersite (Cross-Site WebSocket Hijacking)
Contournement WAF	Test de contournements par encodage, pollution de paramètres HTTP, contrebande de requêtes
Rotation d'User-Agent	Chaînes User-Agent aléatoires ou personnalisées pour éviter l'empreinte numérique
Exécution parallèle	Exécution parallèle facultative pour des scans plus rapides
Mode silencieux	Sortie console réduite pour l'automatisation et les scripts
Sécurité des identifiants	Gestion sécurisée avec nettoyage mémoire après utilisation
Rapports complets	Tableau de bord HTML, 7 fichiers CSV et JSON structuré pour une utilisation programmatique
Preuve de concept	Preuve de concept requête/réponse incluse dans le rapport HTML pour les tests d'intrusion
Exécution sélective	Exécution uniquement de catégories de vérifications spécifiques (scan de ports, CVE, boîte noire, authentifié, réseau)
Réduction des faux positifs	Empreinte de base pour éliminer les faux positifs globaux des SPA
Test d'authentification d'identité	Vérifications de divulgation d'informations et d'énumération via StartAuthentication/ForgotUsername

Configuration requise	Minimum	Recommandé
PowerShell	7.0	7.x (dernière version)
.NET Framework	4.5	4.8+
Système d'exploitation	Windows 10/Server 2016	Windows 11/Server 2022
Mémoire	2 Go disponibles	4 Go disponibles

Phase d'audit	Accès requis
Phase 1 (non authentifié)	Accès réseau à PVWA (HTTPS/443)
Phase 2 (authentifié)	Identifiants API CyberArk avec rôle Administrateur du coffre ou Auditeur

Champ	Description
`FindingID`	Identifiant unique (ex. CA-20260116-A1B2C3D4)
`Category`	Catégorie de sécurité (ex. Configuration sécurisée, Authentification)
`CISControl`	Référence de contrôle du benchmark CIS
`AffectedComponent`	Composant CyberArk (Vault, CPM, PSM, PVWA, PTA)
`Evidence`	Preuve technique soutenant la constatation
`TechnicalDetails`	Description technique détaillée
`RiskDescription`	Explication de pourquoi il s'agit d'un risque de sécurité
`BusinessImpact`	Explication de l'impact au niveau de l'entreprise
`CVSSScore`	Plage de score CVSS estimée
`RemediationSteps`	Guide de correction étape par étape
`ComplianceRefs`	Références du cadre de conformité
`References`	Liens vers la documentation
`PoCRequest`	Requête HTTP de preuve de concept (lorsqu'elle est disponible)
`PoCResponse`	Réponse HTTP de preuve de concept (lorsqu'elle est disponible)

HuntCyberArk

Populaires

HuntCyberArk - Suite d'audit de sécurité CyberArk

Fonctionnalités clés

Table des matières

Prérequis

Configuration système requise

Accès requis

Exigences réseau

Installation

Aucun outil externe requis

Étape 1 : Vérifier la version de PowerShell

Download to current directory

Étape 4: Vérifier la configuration SSL/TLS

Enable TLS 1.2 (recommended to add to your profile)

Optionnel : Installer PowerShell 7 (Recommandé)

Windows (winget)

Windows (manual)

Download from: https://github.com/PowerShell/PowerShell/releases

Utilisation

Non authentifié uniquement (Test en boîte noire)

No credentials required - great for penetration testing

Ignorer des Types de Vérification Spécifiques```powershell

Skip port scanning (faster execution)

Skip authenticated checks (only blackbox)

Skip CVE checks

Skip multiple check categories

Exemple complet des options```powershell

Full audit with compliance mapping

Scénarios Red Team```powershell

OPSEC Mode - Stealth scanning for red team operations

Route traffic through Burp Suite proxy

Advanced timing attack detection

Full JWT/OAuth2 security testing

WebSocket endpoint discovery and CSWSH testing

WAF evasion testing (encoding bypasses, HPP, smuggling)

Custom timing with jitter and randomized User-Agent

Quiet mode for automation/scripting

Complete red team assessment

Rapports & scénarios de sortie```powershell

Generate comprehensive reports to a specific directory

Quick unauthenticated scan with minimal output for automation

Full audit for compliance reporting

Generate reports and capture results for further processing

Access the returned data programmatically

Scénarios d'expansion de la posture de sécurité```powershell

Secrets Hub - Cloud secrets sync validation

Remote Access / Alero - Vendor access security

Kubernetes Secrets - Container security and Secrets Provider

DevSecOps - CI/CD pipeline security

Privilege Cloud - SaaS-specific checks

CyberArk Identity - SSO and adaptive MFA

Backup Security - Encryption and file permissions

HSM Integration - Hardware security module checks

PTA Deep Dive - Advanced threat detection analysis

Third-Party Integration - SIEM/ITSM/SOAR connectivity

Operational Hygiene - Health metrics and queue analysis

Attack Path Simulation - Red team validation

Supply Chain Integrity - Component validation

Network Segmentation - Micro-segmentation analysis

Comprehensive audit with all security posture checks

Détails améliorés des constatations

Notation des risques

Rédaction de rapports complets

Considérations de sécurité

Dépannage

Problèmes courants et solutions

Exécution du script bloquée

Option 1: Bypass for current session only

Option 2: Unblock the specific file

Erreurs de connexion TLS/SSL

Enable TLS 1.2 before running the script

For PowerShell 7, TLS 1.3 may also be available

Échecs d'authentification

Test authentication manually

Erreurs de génération de rapports

Specify a writable output directory

Ensure the directory exists