MicroBurst सीक्रेट्स हंटर

एक PowerShell स्कैनर जो MicroBurst के Get-AzDomainInfo आउटपुट में सादे-पाठ (plaintext) पासवर्ड, कुंजियाँ, कनेक्शन स्ट्रिंग, और अन्य ऐसे रहस्य खोजता है जिन्हें Azure वातावरण में कभी भी अनएन्क्रिप्टेड नहीं रहना चाहिए।

केवल-पठन (read-only) ऑडिट वर्कफ़्लो के लिए बनाया गया: आप MicroBurst के साथ एक डोमेन डंप इकट्ठा करते हैं (Get-AzDomainInfo के लिए Reader एक्सेस काफी है), फिर इस टूल को आउटपुट फ़ोल्डर पर इंगित करते हैं। यह Azure को स्वयं नहीं छूता है — यह केवल उन फ़ाइलों को पढ़ता है जिन्हें आप पहले ही एक्सपोर्ट कर चुके हैं। हर रिपोर्ट में गुप्त मान (secret values) रिडैक्ट किए जाते हैं, इसलिए आउटपुट निष्कर्षों (findings) के साथ संलग्न करने के लिए सुरक्षित है।

त्वरित आरंभ

# Clone / copy this folder, then from a PowerShell prompt:
.\Scan-MicroBurst.ps1 -Path .\MicroBurst-2026 -Verbose

या मॉड्यूल आयात करें और cmdlet का सीधे उपयोग करें:

Import-Module .\MicroBurstSecretsHunter.psd1 -Force
Invoke-MBSecretScan -Path .\MicroBurst-2026

रिपोर्टें वर्तमान निर्देशिका में एक टाइमस्टैम्प वाले फ़ोल्डर (MBSecretScan-<timestamp>) में लिखी जाती हैं, जब तक कि आप -OutputDirectory पास न करें।

डिफ़ॉल्ट रूप से हर मान रिडैक्ट किया जाता है ताकि रिपोर्टें साझा करने के लिए सुरक्षित रहें। प्रकट किए गए अक्षरों का बजट मान की लंबाई के एक चौथाई पर होता है (अधिकतम 4 अग्रणी + 2 अनुगामी), और 8 अक्षर या उससे छोटी कोई भी चीज़ एक निश्चित-चौड़ाई वाले मास्क से बदल दी जाती है — इसलिए एक सामान्य पासवर्ड ******** के रूप में दिखता है, जबकि 88-अक्षर वाली स्टोरेज कुंजी AAAA**********AA के रूप में पहचानी जा सकती है। संदर्भ स्ट्रिंग (context strings) को छोटा करने से पहले रिडैक्ट किया जाता है, और किसी पंक्ति पर पाया गया हर रहस्य उस पंक्ति के हर निष्कर्ष के संदर्भ से बाहर कर दिया जाता है, इसलिए रिपोर्ट में कोई प्लेनटेक्स्ट नहीं बचता। गलत-सकारात्मक (false positive) की जाँच करते समय पूरा मान देखना अक्सर तेज़ होता है — -ShowSecrets पास करें ताकि हर जगह (कंसोल, CSV, HTML) अनरिडैक्टेड मान निकलें। तब कंसोल और HTML पर एक स्पष्ट चेतावनी बैनर होता है, और रिपोर्टों को वास्तविक क्रेडेंशियल सामग्री के रूप में माना जाना चाहिए:

Invoke-MBSecretScan -Path .\dump -ShowSecrets        # raw values, for local triage

Windows PowerShell 5.1 और PowerShell 7+ (Windows, Linux, macOS) पर काम करता है।

आपको क्या मिलता है

हर रन तीन चीज़ें उत्पन्न करता है:

cmdlet पाइपलाइन में निष्कर्ष ऑब्जेक्ट भी भेजता है, ताकि आप पोस्ट-प्रोसेस कर सकें:

$f = Invoke-MBSecretScan -Path .\dump -Quiet
$f | Where-Object Severity -eq 'Critical' | Format-Table File,Line,RuleName

यह क्या पता लगाता है

पूरा, संपादन योग्य नियम-सेट Private/Get-MBSignature.ps1 में रहता है। प्रत्येक नियम इन फ़ील्ड्स वाला एक [PSCustomObject] है:

संरचित CSV कॉलम-पेयरिंग

Get-AzDomainInfo automation-account चर और app सेटिंग्स को Name,Value[,Encrypted] पंक्तियों के रूप में एक्सपोर्ट करता है। रहस्य Value कॉलम में रहता है, जबकि इसे पहचानने वाला कीवर्ड (जैसे ServiceAccountPwd, dbConnectionString) Name कॉलम में रहता है — इसलिए एक साधारण regex उन्हें कभी एक ही "पंक्ति" पर नहीं देखता और कीवर्ड बिना किसी शब्द सीमा के एक यौगिक टोकन के अंदर दबा रहता है।

.csv / .tsv फ़ाइलों के लिए स्कैनर अतिरिक्त रूप से संरचित कॉलम-पेयरिंग (Private/Get-MBCsvFinding.ps1) करता है:

• Name/Value मोड — प्रत्येक पंक्ति के Name सेल को वर्गीकृत करता है; यदि यह संवेदनशील है और Value सेल में वास्तविक डेटा है, तो इसे रिपोर्ट किया जाता है। Encrypted=True चिह्नित पंक्तियाँ छोड़ दी जाती हैं (मान प्लेनटेक्स्ट नहीं है)।
• Sensitive-column मोड — यदि कोई कॉलम हेडर स्वयं संवेदनशील है (कोई Password या StorageKey कॉलम), तो हर गैर-प्लेसहोल्डर सेल रिपोर्ट किया जाता है।

जिन मानों को एक उच्च-विश्वास नियम पहले ही कवर कर चुका है (कनेक्शन स्ट्रिंग, स्टोरेज कुंजियाँ, SAS), उन्हें बेहतर रिडैक्शन के लिए raw-line पास पर छोड़ दिया जाता है, और निष्कर्ष श्रेणी के अनुसार डी-डुप्लिकेट किए जाते हैं ताकि एक ही रहस्य कभी दो बार रिपोर्ट न हो। यदि किसी फ़ाइल को CSV के रूप में पार्स नहीं किया जा सकता है, तो स्कैनर स्वचालित रूप से सामान्य raw-line स्कैन पर वापस आ जाता है।

Value-साइड स्कैन (-ScanValues)

उपरोक्त पेयरिंग किसी सेटिंग के नाम पर आधारित होती है। किसी अर्थहीन नाम के तहत संग्रहीत रहस्यों को भी पकड़ने के लिए (जैसे Config1 = P@ssw0rd2026!), -ScanValues पास करें। यह मान सेल की सामग्री की दो रूढ़िवादी, Low-severity ह्युरिस्टिक से जाँच करता है:

• Password-जैसा — 8–64 अक्षर, कोई व्हाइटस्पेस नहीं, एक मजबूत विशेष वर्ण (!@#$%^&* …) के साथ-साथ अक्षर और एक अन्य वर्ग शामिल हो। पहचान-शैली वाले मान जैसे Standard_D2s_v3 (जिनके केवल प्रतीक _ - . हैं) अनदेखा किए जाते हैं।
• High-entropy — ≥ 16 अक्षर, मिश्रित अक्षर+अंक, Shannon एन्ट्रॉपी ≥ -MinEntropy। रिसोर्स IDs को फ़्लैग करने से बचने के लिए पाथ / URLs / resource IDs (/ या \ वाली कोई भी चीज़) छोड़ी जाती हैं।

Name/Value तालिकाओं में यह Value कॉलम को स्कैन करता है; free-form तालिकाओं में यह हर सेल को स्कैन करता है। यह अधिक रिकॉल के बदले अधिक गलत-सकारात्मक देता है, इसलिए यह डिफ़ॉल्ट रूप से बंद है — गहन स्वीप के लिए इसे चालू करें, फिर Low निष्कर्षों की जाँच करें।

गलत-सकारात्मक हैंडलिंग

Azure डंप लंबी यादृच्छिक-दिखने वाली स्ट्रिंग्स से भरे होते हैं जो रहस्य नहीं हैं। स्कैनर इन्हें फ़िल्टर कर देता है:

• GUIDs (subscription / tenant / resource / object IDs) कभी फ़्लैग नहीं किए जाते।

• Placeholders और गैर-रहस्य मान आकार — ********, null, <provide-at-deploy>, true/false, दोहराए गए अक्षर, टेम्पलेट टोकन (${var}, %VAR%), JSON ऑब्जेक्ट/ऐरे ({...}, [...], बहु-पंक्ति सहित), दिनांक/टाइमस्टैम्प, और सीरियलाइज़्ड .NET प्रकार/संग्रह नाम (जैसे VM scale set का Secrets कॉलम System.Collections.Generic.List1[...VaultSecretGroup]के रूप में प्रस्तुत होना) — छोड़ दिए जाते हैं। ध्यान दें कि यह आकार-आधारित है: वास्तविक प्लेनटेक्स्ट मान रखने वालाSecrets` कॉलम अभी भी फ़्लैग किया जाता है।

• हानिरहित पासवर्ड-मेटाडेटा फ़ील्ड — ऐसे डायरेक्टरी कॉलम जिनके नाम में कोई कीवर्ड होता है लेकिन वे केवल पासवर्ड नीति/स्थिति का वर्णन करते हैं, कभी स्वयं रहस्य का नहीं (, , , , , …)। ये RBAC एक्सपोर्ट जैसे / में आम हैं और फ़्लैग नहीं किए जाते, जबकि वास्तव में नाम वाला कॉलम अभी भी फ़्लैग होता है। Key Vault एक्सेस-पॉलिसी अनुमति कॉलम (, , …) — जिनमें जैसी अनुमति क्रियाएँ होती हैं — भी इसी तरह अनदेखा किए जाते हैं।

मुख्य पैरामीटर

प्रोजेक्ट संरचना

MicroBurstSecretsHunter.psd1     Module manifest
MicroBurstSecretsHunter.psm1     Module loader
Scan-MicroBurst.ps1              Convenience wrapper script
Public/
  Invoke-MBSecretScan.ps1        Main cmdlet (file walk, matching, reporting)
Private/
  Get-MBSignature.ps1            Detection rule set (edit to extend)
  Get-MBCsvFinding.ps1           Structured CSV Name/Value column pairing
  MBHelpers.ps1                  Entropy, redaction, context rendering,
                                 CSV field escaping, line windowing,
                                 placeholder/GUID filters
  Write-MBConsoleSummary.ps1     Console output
  New-MBHtmlReport.ps1           HTML report generator
tests/
  sample-dump/                   Example Get-AzDomainInfo-style fixture

बंडल किए गए नमूने के साथ इसे आज़माने के लिए:

.\Scan-MicroBurst.ps1 -Path .\tests\sample-dump

कवरेज सीमाएँ जिनके बारे में टूल बताता है

स्कैनर जो कुछ भी पढ़ नहीं सका वह एक ब्लाइंड स्पॉट है, और एक मूक ब्लाइंड स्पॉट "यहाँ कुछ नहीं मिला" जैसा पढ़ा जाता है। इसलिए स्कैनर उनके बारे में स्पष्ट है:

• -MaxFileSizeMB से बड़ी फ़ाइलें उनका नाम बताते हुए Write-Warning उत्पन्न करती हैं, कंसोल सारांश में NOT scanned पंक्ति, और HTML रिपोर्ट पर एक बैनर।
• अपठनीय फ़ाइलें (लॉक, अनुमति-अस्वीकृत) उसी तरह गिनी जाती हैं; अलग-अलग पाथ के लिए -Verbose के साथ चलाएँ।
• लंबी पंक्तियाँ ट्रंकेट नहीं की जाती हैं। Azure एक्सपोर्ट में मिनिफ़ाइड एकल-पंक्ति JSON सामान्य है, और 14 KB की एक-पंक्ति ARM टेम्पलेट किसी भी निश्चित कट-ऑफ के पार AdminPassword को आसानी से छिपा सकती है, इसलिए पंक्तियों को ओवरलैपिंग 8000-अक्षर विंडो में स्कैन किया जाता है। ओवरलैप से आने वाले डुप्लीकेट हिट डी-डुप्लिकेशन में समाप्त हो जाते हैं।

नोट्स और चेतावनियाँ

• पहचान का अभाव सुरक्षा का प्रमाण नहीं है। इसे मैन्युअल समीक्षा के लिए एक बल-गुणक (force multiplier) मानें, न कि इसका प्रतिस्थापन।
• डिफ़ॉल्ट रूप से रिपोर्टें गुप्त मानों को रिडैक्ट करती हैं लेकिन फिर भी यह बताती हैं कि रहस्य कहाँ रहते हैं, इसलिए उन्हें संवेदनशील एंगेजमेंट आर्टिफैक्ट के रूप में संभालें। -ShowSecrets के साथ उनमें पूर्ण प्लेनटेक्स्ट क्रेडेंशियल होते हैं — सुरक्षित रूप से संग्रहीत करें और ट्राइएज के बाद हटा दें।
• टूल केवल-पठन है और कोई नेटवर्क कॉल नहीं करता।