Azure आक्रामक सुरक्षा टूलकिट

Azure सुरक्षा मूल्यांकनों के लिए Bash और PowerShell स्क्रिप्ट्स का एक संग्रह, जिसमें IAM विशेषाधिकार वृद्धि, कंटेनर सुरक्षा, Key Vault एक्सपोज़र, Entra ID कॉन्फ़िगरेशन, और अधिक शामिल हैं। Azure Cloud Shell या किसी भी प्रमाणित टर्मिनल में चलाने के लिए डिज़ाइन किया गया।

स्क्रिप्ट्स

IAM / पहचान

Script	Shell	Description
`IAMPrivz.sh`	Bash	टेनेंट भर में सभी RBAC भूमिका परिभाषाओं और असाइनमेंटों का ऑडिट करता है, खतरनाक विशेषाधिकार-वृद्धि अनुमतियों के लिए: `roleAssignments/write`, `roleDefinitions/write`, और `federatedIdentityCredentials/write`। प्रत्येक चिह्नित असाइनमेंट के लिए प्रिंसिपल पहचान (उपयोगकर्ता, सेवा प्रिंसिपल, समूह) को हल करता है। JSON और टेक्स्ट रिपोर्ट आउटपुट करता है।
`EntraUserSettings.sh`	Bash	Microsoft Graph के माध्यम से Entra ID टेनेंट-स्तरीय उपयोगकर्ता सेटिंग्स की रिपोर्ट करता है — ऐप पंजीकरण अनुमतियाँ, टेनेंट निर्माण, सुरक्षा समूह निर्माण, अतिथि पहुँच प्रतिबंध स्तर, और प्रशासन केंद्र प्रतिबंध।
`EntraUserSettings.ps1`	PowerShell	`EntraUserSettings.sh` का PowerShell समतुल्य।
`GlobalAdmins.sh`	Bash	ग्लोबल एडमिनिस्ट्रेटर निर्देशिका भूमिका के सभी सदस्यों को निकालता है। प्रदर्शन नाम, UPN, ऑब्जेक्ट प्रकार, खाता स्थिति, और ऑब्जेक्ट ID एकत्र करता है। यदि निर्देशिका में अभी तक सक्रिय नहीं है तो भूमिका को सक्रिय करता है। फ़ॉर्मेटेड तालिका + टाइमस्टैम्प्ड CSV आउटपुट करता है।
`GlobalAdmin.ps1`	PowerShell	`GlobalAdmins.sh` का PowerShell समतुल्य।
`GuestInvite.sh`	Bash	अतिथि आमंत्रण नीतियों और बाहरी सहयोग सेटिंग्स का ऑडिट करता है — कौन अतिथियों को आमंत्रित कर सकता है, अतिथि पहुँच प्रतिबंध स्तर, ईमेल-आधारित साइनअप अनुमतियाँ। उच्च-जोखिम कॉन्फ़िगरेशन (जैसे, "हर कोई आमंत्रित कर सकता है") को चिह्नित करता है। टाइमस्टैम्प्ड रिपोर्ट आउटपुट करता है।
`GuestInvite.ps1`	PowerShell	`GuestInvite.sh` का PowerShell समतुल्य।
`JoinableGroups.sh`	Bash	सार्वजनिक रूप से जुड़ने योग्य Entra ID समूहों (सार्वजनिक दृश्यता, गैर-गतिशील सदस्यता) की खोज करता है। मेटाडेटा, सदस्य गणना, और निर्दिष्ट निर्देशिका भूमिकाएँ एकत्र करता है। समूहों का चयन करने और उनमें शामिल होने के लिए एक इंटरैक्टिव मेनू प्रदान करता है। CSV आउटपुट करता है।
`JoinableGroups.ps1`	PowerShell	`JoinableGroups.sh` का PowerShell समतुल्य।

कंटेनर सुरक्षा

Key Vault

ऑटोमेशन

Script	Shell	Description
`RunbookGrabz.sh`	Bash	सभी सब्सक्रिप्शन में सभी Azure Automation Accounts का व्यापक ऑडिट। रनबुक स्रोत कोड, वेबहुक कॉन्फ़िगरेशन, शेड्यूल, जॉब इतिहास (पिछले 30 दिन), और हाइब्रिड वर्कर विवरण निकालता है। प्रति-खाता विवरण फ़ाइलों और समर्पित रनबुक सामग्री फ़ोल्डरों के साथ पदानुक्रमित निर्देशिका संरचना आउटपुट करता है।

SQL

Script	Shell	Description
`SQLAuditing.sh`	Bash	सभी सब्सक्रिप्शन में सभी Azure SQL Servers और Databases के लिए ऑडिटिंग स्थिति की जाँच करता है। ब्लॉब, Log Analytics और Event Hub लक्ष्यों की जाँच करता है। स्मार्ट लॉजिक: जब सर्वर-स्तरीय ऑडिटिंग पहले से सक्षम हो, तो डेटाबेस-स्तरीय जाँच को छोड़ देता है। अनकवर्ड डेटाबेस को चिह्नित करता है। CSV आउटपुट करता है।

पूर्वापेक्षाएँ

Azure CLI (az login) या Azure Cloud Shell सत्र
jq — सभी Bash स्क्रिप्ट्स के लिए आवश्यक
Az PowerShell मॉड्यूल — .ps1 स्क्रिप्ट्स के लिए आवश्यक (Az.Accounts, Az.KeyVault, Az.Sql, आदि)
ऑडिट किए जा रहे संसाधनों के लिए उपयुक्त पढ़ने की अनुमतियाँ (न्यूनतम Reader; कुछ स्क्रिप्ट्स जैसे Conreg.sh लेखन संचालन का परीक्षण करती हैं)

उपयोग

# Run from Azure Cloud Shell or any authenticated terminal
az login

# IAM privilege escalation audit
bash Cloudshell/IAMPrivz.sh

# Container registry permission check with live tests
bash Cloudshell/Conreg.sh

# Key Vault access test (all subscriptions)
bash Cloudshell/KV-Access.sh -a

# Key Vault public exposure audit
bash Cloudshell/KV-PublicAccess.sh

# PowerShell equivalents
pwsh Cloudshell/KV-Access.ps1 -All
pwsh Cloudshell/ContainerPermz.ps1

फ़ाइल संरचना

Azure/
├── README.md
└── Cloudshell/
    ├── IAMPrivz.sh
    ├── Conreg.sh
    ├── ContainerPermz.sh
    ├── ContainerPermz.ps1
    ├── EntraUserSettings.sh
    ├── EntraUserSettings.ps1
    ├── GlobalAdmins.sh
    ├── GlobalAdmin.ps1
    ├── GuestInvite.sh
    ├── GuestInvite.ps1
    ├── JoinableGroups.sh
    ├── JoinableGroups.ps1
    ├── KV-Access.sh
    ├── KV-Access.ps1
    ├── KV-PublicAccess.sh
    ├── KV-PublicAccess.ps1
    ├── RunbookGrabz.sh
    ├── RunbookGrabz.ps1
    ├── SQLAuditing.sh
    └── SQLAuditing.ps1

अस्वीकरण

ये उपकरण केवल अधिकृत सुरक्षा मूल्यांकन और शैक्षिक उद्देश्यों के लिए हैं। किसी भी Azure वातावरण के विरुद्ध इन स्क्रिप्ट्स को चलाने से पहले हमेशा उचित प्राधिकरण प्राप्त करें।

`Conreg.sh`	Bash	सभी सब्सक्रिप्शन और ACR में भूमिका असाइनमेंट की गणना करता है, 14 खतरनाक ACR अनुमतियों (एडमिन क्रेडेंशियल एक्सेस, टोकन जनरेशन, मैनेज्ड आइडेंटिटी के साथ कार्य निर्माण, रजिस्ट्री कॉन्फ़िगरेशन परिवर्तन) को क्रॉस-रेफ़रेंस करता है। लाइव क्षमता परीक्षण करता है — वास्तव में शोषण क्षमता की पुष्टि करने के लिए संचालन प्रयास करता है, फिर परीक्षण संसाधनों को साफ करता है। टाइमस्टैम्प्ड रिपोर्ट आउटपुट करता है।
`ContainerPermz.sh`	Bash	सभी सब्सक्रिप्शन में कंटेनर संसाधनों (ACR, Container Apps, Container Instances) का ऑडिट करता है। कंटेनर सेवाओं तक सीमित भूमिका असाइनमेंट की गणना करता है, लेखन/स्वामी/योगदानकर्ता वाले प्रिंसिपल की पहचान करता है, और जांचता है कि किन Container Apps और Instances में मैनेज्ड आइडेंटिटी सक्षम है। दो CSV आउटपुट करता है।
`ContainerPermz.ps1`	PowerShell	`ContainerPermz.sh` का PowerShell समतुल्य।

`KV-Access.sh`	Bash	परीक्षण करता है कि चयनित सब्सक्रिप्शन में Key Vault तक वर्तमान उपयोगकर्ता के पास वास्तविक डेटा-प्लेन एक्सेस है या नहीं। प्रत्येक वॉल्ट में रहस्य, कुंजी और प्रमाणपत्रों को सूचीबद्ध करने का प्रयास करता है। इंटरैक्टिव, विशिष्ट (`-s`), या सभी (`-a`) सब्सक्रिप्शन चयन का समर्थन करता है। टाइमस्टैम्प्ड रिपोर्ट आउटपुट करता है।
`KV-Access.ps1`	PowerShell	`KV-Access.sh` का PowerShell समतुल्य। `-SubscriptionIds` और `-All` फ़्लैग का उपयोग करता है।
`KV-PublicAccess.sh`	Bash	सभी सब्सक्रिप्शन में प्रत्येक Key Vault के नेटवर्क कॉन्फ़िगरेशन का ऑडिट करता है। प्रत्येक वॉल्ट को सार्वजनिक रूप से सुलभ, फ़ायरवॉल प्रतिबंधित, केवल निजी, या सीमित के रूप में वर्गीकृत करता है। सार्वजनिक नेटवर्क एक्सेस, डिफ़ॉल्ट ACL कार्रवाई, IP/VNet नियम और निजी एंडपॉइंट की जाँच करता है। CSV आउटपुट करता है।
`KV-PublicAccess.ps1`	PowerShell	`KV-PublicAccess.sh` का PowerShell समतुल्य।

सबसे लोकप्रिय

Azure