MicroBurst Secrets Hunter

Azure 環境で暗号化されずに放置されるべきではない平文パスワード、キー、接続文字列、その他のシークレットを、MicroBurst の Get-AzDomainInfo 出力から探し出す PowerShell スキャナです。

読み取り専用の監査ワークフロー向けに作られています: MicroBurst でドメインダンプを収集し(Get-AzDomainInfo には Reader アクセスで十分です)、このツールを出力フォルダに向けます。Azure 自体には一切触れません — 既にエクスポート済みのファイルを読むだけです。シークレットの値はすべてのレポートでマスク処理され、そのため出力は検出結果に添付しても安全です。

クイックスタート

# Clone / copy this folder, then from a PowerShell prompt:
.\Scan-MicroBurst.ps1 -Path .\MicroBurst-2026 -Verbose

またはモジュールをインポートしてコマンドレットを直接使用:

Import-Module .\MicroBurstSecretsHunter.psd1 -Force
Invoke-MBSecretScan -Path .\MicroBurst-2026

レポートは、-OutputDirectory を指定しない限り、カレントディレクトリのタイムスタンプ付きフォルダ(MBSecretScan-<timestamp>)に書き出されます。

既定ではすべての値がマスクされるため、レポートを共有しても安全です。表示される文字は値の長さの4分の1(先頭4文字+末尾2文字が上限)に抑えられ、8文字以下の値は固定幅マスクに置き換えられます — 典型的なパスワードは ******** と表示され、88文字のストレージキーは AAAA**********AA のように識別可能な形で残ります。コンテキスト文字列はトランケートされる前にマスクされ、ある行で見つかったすべてのシークレットは、その行にあるすべての検出結果のコンテキストからマスクされるため、レポートに平文は残りません。誤検知をトリアージする際には、完全な値を確認した方が速いことがよくあります — -ShowSecrets を渡すと、すべての出力(コンソール、CSV、HTML)でマスクされない値が出力されます。その場合、コンソールと HTML には明確な警告バナーが表示され、レポートは生の資格情報として扱う必要があります:

Invoke-MBSecretScan -Path .\dump -ShowSecrets        # raw values, for local triage

Windows PowerShell 5.1 および PowerShell 7+(Windows、Linux、macOS)で動作します。

生成されるもの

実行ごとに3つの成果物が生成されます:

コマンドレットは検出結果オブジェクトをパイプラインにも出力するため、後処理が可能です:

$f = Invoke-MBSecretScan -Path .\dump -Quiet
$f | Where-Object Severity -eq 'Critical' | Format-Table File,Line,RuleName

検出できるもの

完全で編集可能なルールセットは Private/Get-MBSignature.ps1 にあります。各ルールは以下のフィールドを持つ [PSCustomObject] です:

構造化 CSV 列ペアリング

Get-AzDomainInfo は、automation アカウント変数とアプリ設定を Name,Value[,Encrypted] 行としてエクスポートします。シークレットは Value 列にあり、それを識別するキーワード(例: ServiceAccountPwd、dbConnectionString)は Name 列にあるため、単純な正規表現では同じ「行」で両方を認識できず、キーワードはワード境界のない複合トークンに埋もれてしまいます。

.csv / .tsv ファイルの場合、スキャナは追加で構造化列ペアリング(Private/Get-MBCsvFinding.ps1)を実行します:

• Name/Value モード — 各行の Name セルを分類します。機密性が高く、Value セルに実際のデータがある場合は報告されます。Encrypted=True とマークされた行はスキップされます(値は平文ではありません)。
• 機密列モード — 列ヘッダー自体が機密(Password や StorageKey 列など)の場合、プレースホルダー以外のすべてのセルが報告されます。

信頼度の高いルールで既にカバーされている値(接続文字列、ストレージキー、SAS)は、より厳密なマスク処理のために生の行パスに委ねられ、検出結果はカテゴリごとに重複排除されるため、同じシークレットが2回報告されることはありません。ファイルを CSV として解析できない場合は、通常の生の行スキャンに自動的にフォールバックします。

値側スキャン(-ScanValues)

上記のペアリングは設定の名前をキーとしています。無意味な名前の下に保存されたシークレット(例: Config1 = P@ssw0rd2026!)も検出するには、-ScanValues を渡します。値セルのコンテンツを2つの保守的なLow 重要度ヒューリスティックで検査します:

• パスワード風 — 8〜64文字、空白なし、強い特殊文字(!@#$%^&* など)に加えて文字と別の文字クラスを含む。Standard_D2s_v3 のような識別子スタイルの値(記号が _ - . のみ)は無視されます。
• 高エントロピー — 16文字以上、文字+数字の混在、シャノンエントロピーが -MinEntropy 以上。パス/URL/リソース ID(/ または \ を含むもの)は、リソース ID を誤検知しないようにスキップされます。

Name/Value テーブルでは Value 列をスキャンし、自由形式のテーブルではすべてのセルをスキャンします。これは、より高い再現率と引き換えに誤検知が増えるため、既定ではオフです — より深いスイープのためにオンにして、Low の検出結果をトリアージしてください。

誤検知の処理

Azure のダンプには、シークレットではない長いランダム風の文字列がたくさん含まれています。スキャナはこれらをフィルタリングします:

• GUID(サブスクリプション / テナント / リソース / オブジェクト ID)は決してフラグ付けされません。

• プレースホルダー & 非シークレットの値形状 — ********、null、<provide-at-deploy>、true/false、繰り返し文字、テンプレートトークン(${var}、%VAR%)、JSON オブジェクト/配列({...}、[...]、複数行を含む)、日付/タイムスタンプ、シリアライズされた .NET 型/コレクション名(例: VM スケールセットの Secrets 列が System.Collections.Generic.List1[...VaultSecretGroup]と表示される)— はスキップされます。これは形状ベースであることに注意してください: 実際の平文値を保持するSecrets` 列は依然としてフラグ付けされます。

• 良性のパスワードメタデータフィールド — 名前にキーワードを含むが、パスワードのポリシー/状態のみを説明し、シークレット自体は含まないディレクトリ列(PasswordProfile、PasswordPolicies、、、 など)。これらは / のような RBAC エクスポートで一般的であり、フラグ付けされませんが、実際に という名前の列は依然としてフラグ付けされます。Key Vault のアクセスポリシー権限列(、 など)— のような権限動詞を保持 — も同様に無視されます。

主要パラメータ

プロジェクト構成

MicroBurstSecretsHunter.psd1     Module manifest
MicroBurstSecretsHunter.psm1     Module loader
Scan-MicroBurst.ps1              Convenience wrapper script
Public/
  Invoke-MBSecretScan.ps1        Main cmdlet (file walk, matching, reporting)
Private/
  Get-MBSignature.ps1            Detection rule set (edit to extend)
  Get-MBCsvFinding.ps1           Structured CSV Name/Value column pairing
  MBHelpers.ps1                  Entropy, redaction, context rendering,
                                 CSV field escaping, line windowing,
                                 placeholder/GUID filters
  Write-MBConsoleSummary.ps1     Console output
  New-MBHtmlReport.ps1           HTML report generator
tests/
  sample-dump/                   Example Get-AzDomainInfo-style fixture

同梱のサンプルで試す場合:

.\Scan-MicroBurst.ps1 -Path .\tests\sample-dump

ツールが明示するカバレッジの限界

スキャナが読み取れなかったものはすべて盲点であり、沈黙した盲点は「ここには何もない」と読めてしまいます。そのため、スキャナはそれらを明示します:

• -MaxFileSizeMB を超えるファイルは、ファイル名を示す Write-Warning、コンソールサマリーの NOT scanned 行、HTML レポートのバナーを生成します。
• 読み取れないファイル(ロック中、権限拒否)も同じようにカウントされます。個々のパスは -Verbose で実行すると表示されます。
• 長い行はトランケートされません。Azure のエクスポートでは minify された単一行 JSON が一般的で、14 KB の単一行 ARM テンプレートは、任意の固定カットオフを超えた場所に AdminPassword を簡単に隠せます。そのため、行は重複する8000文字ウィンドウでスキャンされます。オーバーラップによる重複ヒットは重複排除でまとめられます。

注意事項と制限

• 検出がないことは安全性の証明ではありません。 これは手動レビューの効果を増幅する手段として扱い、その代替にはしないでください。
• 既定ではレポートはシークレット値をマスクしますが、シークレットがどこに存在するかは明らかになるため、機密性の高いエンゲージメント成果物として扱ってください。-ShowSecrets を使用すると、完全な平文の資格情報が含まれるため、安全に保管し、トリアージ後に削除してください。
• このツールは読み取り専用で、ネットワーク呼び出しは行いません。