MicroBurst Secrets Hunter

Un scanner PowerShell qui fouille la sortie de MicroBurst Get-AzDomainInfo à la recherche de mots de passe en clair, de clés, de chaînes de connexion et d'autres secrets qui ne devraient jamais rester non chiffrés dans un environnement Azure.

Conçu pour des workflows d'audit en lecture seule : vous collectez un dump de domaine avec MicroBurst (l'accès Lecteur suffit pour Get-AzDomainInfo), puis vous pointez cet outil vers le dossier de sortie. Il ne touche pas Azure lui-même — il lit uniquement les fichiers que vous avez déjà exportés. Les valeurs secrètes sont masquées dans chaque rapport, de sorte que la sortie peut être jointe en toute sécurité aux constatations.

Démarrage rapide

# Clone / copy this folder, then from a PowerShell prompt:
.\Scan-MicroBurst.ps1 -Path .\MicroBurst-2026 -Verbose

Ou importez le module et utilisez le cmdlet directement :

Import-Module .\MicroBurstSecretsHunter.psd1 -Force
Invoke-MBSecretScan -Path .\MicroBurst-2026

Les rapports sont écrits dans un dossier horodaté (MBSecretScan-<timestamp>) dans le répertoire courant, sauf si vous passez -OutputDirectory.

Par défaut, chaque valeur est masquée afin que les rapports puissent être partagés en toute sécurité. La quantité de caractères révélés est limitée à un quart de la longueur de la valeur (plafonné à 4 en tête + 2 en fin), et tout élément de 8 caractères ou moins est remplacé par un masque de largeur fixe — ainsi un mot de passe typique s'affiche comme ********, tandis qu'une clé de 88 caractères reste identifiable comme AAAA**********AA. Les chaînes de contexte sont masquées avant d'être tronquées, et chaque secret trouvé sur une ligne est masqué dans le contexte de chaque constatation de cette ligne, de sorte qu'aucun texte en clair ne survit dans un rapport. Lors du tri des faux positifs, il est souvent plus rapide de voir la valeur complète — passez -ShowSecrets pour émettre des valeurs non masquées partout (console, CSV, HTML). La console et le HTML portent alors une bannière d'avertissement claire, et les rapports doivent être traités comme des informations d'identification réelles :

Invoke-MBSecretScan -Path .\dump -ShowSecrets        # raw values, for local triage

Fonctionne sur Windows PowerShell 5.1 et PowerShell 7+ (Windows, Linux, macOS).

Ce que vous obtenez

Chaque exécution produit trois éléments :

Le cmdlet émet également des objets de constatation dans le pipeline, afin que vous puissiez post-traiter :

$f = Invoke-MBSecretScan -Path .\dump -Quiet
$f | Where-Object Severity -eq 'Critical' | Format-Table File,Line,RuleName

Ce qu'il détecte

L'ensemble de règles complet et modifiable se trouve dans Private/Get-MBSignature.ps1. Chaque règle est un [PSCustomObject] avec les champs suivants :

Appariement structuré des colonnes CSV

Get-AzDomainInfo exporte les variables de compte d'automatisation et les paramètres d'application sous forme de lignes Name,Value[,Encrypted]. Le secret se trouve dans la colonne Value tandis que le mot-clé qui l'identifie (par exemple ServiceAccountPwd, dbConnectionString) se trouve dans la colonne Name — de sorte qu'une regex simple ne les voit jamais sur la même « ligne » et que le mot-clé est enfoui dans un jeton composé sans limite de mot.

Pour les fichiers .csv / .tsv, le scanner effectue en plus un appariement structuré des colonnes (Private/Get-MBCsvFinding.ps1) :

• Mode Name/Value — classe la cellule Name de chaque ligne ; si elle est sensible et que la cellule Value contient des données réelles, elle est signalée. Les lignes marquées Encrypted=True sont ignorées (la valeur n'est pas en clair).
• Mode colonne sensible — si un en-tête de colonne est lui-même sensible (une colonne Password ou StorageKey), chaque cellule qui n'est pas un espace réservé est signalée.

Les valeurs déjà couvertes par une règle à haute confiance (chaînes de connexion, clés de stockage, SAS) sont différées vers le passage en ligne brute pour un masquage plus strict, et les constatations sont dédupliquées par catégorie afin que le même secret ne soit jamais signalé deux fois. Si un fichier ne peut pas être analysé comme CSV, le scanner revient automatiquement à l'analyse normale en ligne brute.

Analyse côté valeur (-ScanValues)

L'appariement ci-dessus repose sur le nom d'un paramètre. Pour également détecter les secrets stockés sous un nom sans signification (par exemple Config1 = P@ssw0rd2026!), passez -ScanValues. Il inspecte le contenu des cellules de valeur avec deux heuristiques prudentes de sévérité Faible :

• De type mot de passe — 8 à 64 caractères, sans espace, contient un caractère spécial fort (!@#$%^&* …) plus des lettres et une autre classe. Les valeurs de type identifiant comme Standard_D2s_v3 (dont les seuls symboles sont _ - .) sont ignorées.
• Haute entropie — ≥ 16 caractères, mélange de lettres et de chiffres, entropie de Shannon ≥ -MinEntropy. Les chemins / URL / ID de ressource (tout ce qui contient / ou \) sont ignorés pour éviter de signaler des ID de ressource.

Dans les tables Name/Value, il analyse la colonne Value ; dans les tables libres, il analyse chaque cellule. Cela échange un rappel plus élevé contre davantage de faux positifs, c'est donc désactivé par défaut — activez-le pour une analyse plus approfondie, puis triez les constatations de sévérité Faible.

Gestion des faux positifs

Les dumps Azure sont pleins de longues chaînes à l'apparence aléatoire qui ne sont pas des secrets. Le scanner les filtre :

• GUID (ID d'abonnement / de locataire / de ressource / d'objet) ne sont jamais signalés.

• Espaces réservés et formes de valeurs non secrètes — ********, null, <provide-at-deploy>, true/false, caractères répétés, jetons de modèle (${var}, %VAR%), objets/tableaux JSON ({...}, [...], y compris multilignes), dates/horodatages, et noms de types/collections .NET sérialisés (par exemple une colonne Secrets de VM scale set rendue comme System.Collections.Generic.List1[...VaultSecretGroup]) — sont ignorés. Notez qu'il s'agit d'une logique basée sur la forme : une colonne Secrets` contenant une véritable valeur en clair est toujours signalée.

• Champs de métadonnées de mot de passe bénins — les colonnes d'annuaire dont le nom contient un mot-clé mais ne décrivent que la du mot de passe, jamais le secret lui-même (, , , , , …). Ces champs sont courants dans les exports RBAC comme / et ne sont pas signalés, tandis qu'une colonne réellement nommée l'est toujours. Les colonnes de permissions de politique d'accès Key Vault (, , …) — qui contiennent des verbes de permission comme — sont également ignorées.

Paramètres clés

Structure du projet

MicroBurstSecretsHunter.psd1     Module manifest
MicroBurstSecretsHunter.psm1     Module loader
Scan-MicroBurst.ps1              Convenience wrapper script
Public/
  Invoke-MBSecretScan.ps1        Main cmdlet (file walk, matching, reporting)
Private/
  Get-MBSignature.ps1            Detection rule set (edit to extend)
  Get-MBCsvFinding.ps1           Structured CSV Name/Value column pairing
  MBHelpers.ps1                  Entropy, redaction, context rendering,
                                 CSV field escaping, line windowing,
                                 placeholder/GUID filters
  Write-MBConsoleSummary.ps1     Console output
  New-MBHtmlReport.ps1           HTML report generator
tests/
  sample-dump/                   Example Get-AzDomainInfo-style fixture

Pour l'essayer avec l'exemple fourni :

.\Scan-MicroBurst.ps1 -Path .\tests\sample-dump

Limites de couverture que l'outil vous signale

Tout ce que le scanner n'a pas pu lire est un angle mort, et un angle mort silencieux se lit comme « rien trouvé ici ». Le scanner est donc explicite à ce sujet :

• Les fichiers dépassant -MaxFileSizeMB produisent un Write-Warning les nommant, une ligne NOT scanned dans le résumé console, et une bannière dans le rapport HTML.
• Les fichiers illisibles (verrouillés, accès refusé) sont comptés de la même manière ; exécutez avec -Verbose pour les chemins individuels.
• Les longues lignes ne sont pas tronquées. Le JSON sur une seule ligne minifié est courant dans les exports Azure, et un modèle ARM d'une ligne de 14 Ko peut facilement cacher un AdminPassword au-delà de toute coupure fixe ; les lignes sont donc analysées en fenêtres de 8000 caractères qui se chevauchent. Les correspondances en double dues au chevauchement sont éliminées lors de la déduplication.

Notes et mises en garde

• L'absence de détections n'est pas une preuve de sécurité. Considérez cet outil comme un multiplicateur de force pour la revue manuelle, pas comme un remplacement de celle-ci.
• Par défaut, les rapports masquent les valeurs secrètes mais révèlent toujours où se trouvent les secrets ; traitez-les donc comme des artefacts d'intervention sensibles. Avec -ShowSecrets, ils contiennent les informations d'identification complètes en clair — stockez-les de manière sécurisée et supprimez-les après le tri.
• L'outil est en lecture seule et n'effectue aucun appel réseau.