HuntCyberArk - CyberArk 보안 감사 제품군

CyberArk Privileged Access Management (PAM) 플랫폼을 위한 포괄적인 PowerShell 기반 보안 평가 도구입니다. 오펜시브 보안 전문가, 레드팀원, 침투 테스터를 위해 설계되었습니다.

이 도구는 네트워크를 통해 원격으로 CyberArk 서버에 대해 실행되도록 설계되었습니다. CyberArk 서버 자체에서 실행할 필요가 없습니다. 모든 검사는 PVWA API, 포트 스캐닝 및 웹 테스트를 통해 네트워크를 통해 수행됩니다.

이 도구는 CIS 벤치마크 준수, 공급업체 모범 사례, 블랙박스 테스트, 네트워크 보안 분석, CVE 특정 취약점 점검(2025 CVE 포함), 머신 ID 보안, 시크릿 관리, 제로 스탠딩 권한(ZSP) 평가, ID 거버넌스 및 향상된 보안 점검을 포함한 보안 검사를 수행합니다.

주요 기능

기능	설명
원격 감사	모든 검사가 네트워크를 통해 원격으로 수행 - CyberArk 서버에 설치할 필요 없음
OPSEC 모드	지연, 지터 및 탐지 노출 감소를 통한 은밀 스캐닝
프록시 지원	모든 트래픽을 Burp Suite, ZAP 또는 기타 인터셉트 프록시를 통해 라우팅
타이밍 공격	응답 시간 분석을 통한 사용자 열거 및 블라인드 인젝션 탐지
JWT 보안	none 알고리즘 우회, 키 혼동, 취약한 서명 알고리즘 테스트
WebSocket 테스트	실시간 엔드포인트 발견 및 Cross-Site WebSocket Hijacking 테스트
WAF 우회	인코딩 우회, HTTP Parameter Pollution, 요청 스머글링 테스트
User-Agent 순환	무작위 또는 사용자 지정 User-Agent 문자열로 지문 수집 우회
병렬 실행	더 빠른 스캔을 위한 선택적 병렬 실행
조용한 모드	자동화 및 스크립팅을 위한 콘솔 출력 감소
자격 증명 보안	사용 후 메모리 정리가 포함된 안전한 자격 증명 처리
포괄적인 보고	HTML 대시보드, 7개의 CSV 파일 및 프로그램 사용을 위한 구조화된 JSON
PoC 증거	침투 테스트를 위한 요청/응답 증명이 HTML 보고서에 포함됨
선택적 실행	특정 검사 범주만 실행 가능 (portscan, CVE, blackbox, authenticated, network)
오탐지 감소	SPA catch-all 오탐지를 제거하기 위한 기준 지문 수집
ID 인증 테스트	StartAuthentication/ForgotUsername 정보 공개 및 열거 검사

목차

• 사전 요구사항
• 설치
• 감사 단계 및 인증 요구사항
• 기능
• 사용법
• 매개변수
• 출력
  • HTML 보고서
  • CSV 보고서
  • JSON 보고서
  • 위험 점수
• 보안 고려사항
• 알려진 취약한 CyberArk 버전
• 문제 해결
• 참고 자료

사전 요구사항

시스템 요구사항

요구사항	최소	권장
PowerShell	7.0	7.x (최신)
.NET Framework	4.5	4.8+
운영 체제	Windows 10/Server 2016	Windows 11/Server 2022
메모리	2 GB 이상	4 GB 이상

필요한 접근 권한

감사 단계	필요한 접근 권한
1단계 (인증되지 않음)	PVWA에 대한 네트워크 접근 (HTTPS/443)
2단계 (인증됨)	Vault Admin 또는 Auditor 역할을 가진 CyberArk API 자격 증명

네트워크 요구사항

• PVWA 서버에 대한 아웃바운드 HTTPS (TCP/443) 접근
• 포괄적인 포트 스캐닝을 위한 포트 1858, 1859, 3389, 5985, 5986에 대한 접근
• 대상 PVWA 호스트 이름에 대한 DNS 해석

설치

외부 도구 불필요

이 스크립트는 완전히 자체 포함되어 있으며 네이티브 PowerShell 및 .NET Framework 기능만 사용합니다. 추가 도구나 모듈을 설치할 필요가 없습니다.

스크립트는 다음을 활용합니다:

• 네이티브 .NET 클래스: System.Net.Sockets.TcpClient, System.Net.Security.SslStream - 네트워크 및 TLS 분석용
• 내장 Cmdlet: Invoke-WebRequest, Invoke-RestMethod - HTTP/API 테스트용
• X.509 인증서: System.Security.Cryptography.X509Certificates - 인증서 분석용

1단계: PowerShell 버전 확인

PowerShell을 열고 다음을 실행하세요:```powershell $PSVersionTable.PSVersion

주 버전이 **7 이상**인지 확인하세요. 그렇지 않다면, [PowerShell 7.x를 다운로드](https://github.com/PowerShell/PowerShell/releases)하세요.

> **참고:** 이 스크립트는 PowerShell 7.0 이상이 필요합니다. Windows PowerShell 5.1은 지원되지 않습니다.

### 2단계: 스크립트 다운로드

**옵션 A: 저장소 클론 (권장)**```powershell
git clone https://github.com/Logisek/HuntCyberArk.git
cd HuntCyberArk

옵션 B: 직접 다운로드```powershell

Download to current directory

Invoke-WebRequest -Uri "https://raw.githubusercontent.com/Logisek/HuntCyberArk/main/CyberArk-Security-Audit.ps1" -OutFile "CyberArk-Security-Audit.ps1"

### 3단계: 실행 정책 설정 (필요한 경우)

스크립트 실행 오류가 발생하면 일시적으로 스크립트 실행을 허용하세요:```powershell
# Check current policy
Get-ExecutionPolicy

# Set for current session only (recommended)
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process

# Or unblock the downloaded script
Unblock-File -Path .\CyberArk-Security-Audit.ps1

4단계: SSL/TLS 구성 확인

적절한 TLS 테스트를 위해 PowerShell 세션이 TLS 1.2+를 지원하는지 확인하십시오:```powershell

Enable TLS 1.2 (recommended to add to your profile)

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

### 5단계: 연결 확인

PVWA 서버에 도달할 수 있는지 확인하세요:```powershell
# Test basic connectivity
Test-NetConnection -ComputerName pvwa.domain.com -Port 443

# Test HTTPS endpoint
Invoke-WebRequest -Uri "https://pvwa.domain.com/PasswordVault/" -UseBasicParsing -TimeoutSec 10

선택 사항: PowerShell 7 설치 (권장)

PowerShell 7은 향상된 성능과 더 나은 TLS 지원을 제공합니다:```powershell

Windows (winget)

winget install Microsoft.PowerShell

Windows (manual)

Download from: https://github.com/PowerShell/PowerShell/releases

## 감사 단계 및 인증 요구사항

감사는 두 단계로 실행되며, 각 단계마다 다른 인증 요구사항이 있습니다:

### 1단계: 인증되지 않은 검사 (자격 증명 불필요)
자격 증명 없이 실행할 수 있는 외부/블랙박스 테스트:
- 네트워크 보안 (포트 스캐닝, 볼트 포트 노출)
- TLS/SSL 구성 및 인증서 분석
- 블랙박스 웹 보안 (노출된 엔드포인트, 정보 노출)
- PVWA 보안 헤더 및 쿠키 보안
- CVE 특정 취약점 테스트 (2025 CVE 포함)
- API 보안 테스트 (인증되지 않은 엔드포인트)
- 구성 요소 버전 탐지
- 타이밍 공격 탐지
- JWT/OAuth2 보안 테스트
- WebSocket 엔드포인트 발견
- WAF 우회 테스트
- CyberArk Identity/Privilege Cloud 인증 엔드포인트 테스트 (StartAuthentication, ForgotUsername)

**사용 사례**: 침투 테스트, 외부 보안 평가, 신속한 정찰

### 2단계: 인증된 검사 (CyberArk API 자격 증명 필요)
CyberArk REST API 접근이 필요한 심층 구성 감사:
- Safe 구성 및 권한
- 계정 및 자격 증명 관리 설정
- 플랫폼 구성
- 사용자 계정 및 볼트 권한
- 인증 방법 설정
- 구성 요소 상태
- Master Policy, PSM, CPM, PTA 구성
- 머신 ID 보안 (서비스 계정, AppID)
- 시크릿 관리 (CP/CCP 구성)
- 제로 스탠딩 권한 (JIT 접근 평가)
- ID 거버넌스 (고립된 ID, 권한 표류)
- 클라우드 보안 (AWS/Azure/GCP 통합)
- 재해 복구 (DR Vault, HA 클러스터 상태)
- 규정 준수 매핑 (NIST, SOC 2, PCI-DSS)
- Secrets Hub 통합 (클라우드 네이티브 시크릿 동기화)
- 원격 접속 / Alero 보안
- Kubernetes 시크릿 보안
- DevSecOps 파이프라인 보안
- Privilege Cloud / SaaS 특정 검사
- CyberArk Identity / Idaptive 통합
- 사용자 정의 플러그인 보안
- 백업 보안
- HSM 통합
- PTA 고급 탐지
- 타사 통합 (SIEM, ITSM, SOAR)
- 운영 위생 지표
- 공격 경로 시뮬레이션
- 공급망 무결성
- 네트워크 분할

**필요한 권한**: Vault Admin 또는 Auditor 역할 권장

## 기능

### 보안 점검 카테고리