MicroBurst Secrets Hunter

Azure 환경에서 평문으로 저장되어서는 안 되는 비밀번호, 키, 연결 문자열 및 기타 비밀 정보를 찾기 위해 MicroBurst 의 Get-AzDomainInfo 출력을 샅샅이 훑어보는 PowerShell 스캐너입니다.

읽기 전용 감사 워크플로를 위해 설계되었습니다: MicroBurst로 도메인 덤프를 수집하고(Get-AzDomainInfo에는 Reader 권한이면 충분합니다), 이 도구를 출력 폴더에 지정하면 됩니다. 이 도구는 Azure 자체에는 접촉하지 않으며, 이미 내보낸 파일만 읽습니다. 모든 보고서에서 비밀 값은 마스킹(redacted) 처리되므로 결과물을 발견 사항에 첨부해도 안전합니다.

빠른 시작

# Clone / copy this folder, then from a PowerShell prompt:
.\Scan-MicroBurst.ps1 -Path .\MicroBurst-2026 -Verbose

Or import the module and use the cmdlet directly:

Import-Module .\MicroBurstSecretsHunter.psd1 -Force
Invoke-MBSecretScan -Path .\MicroBurst-2026

보고서는 -OutputDirectory를 지정하지 않는 한 현재 디렉터리의 타임스탬프 폴더(MBSecretScan-<timestamp>)에 작성됩니다.

기본적으로 모든 값은 마스킹 처리되므로 보고서를 공유해도 안전합니다. 공개되는 문자는 값 길이의 4분의 1로 제한되며(앞 4자 + 뒤 2자로 상한), 8자 이하의 값은 고정 폭 마스크로 대체됩니다. 따라서 일반적인 비밀번호는 ********로 표시되고, 88자 스토리지 키는 AAAA**********AA처럼 식별 가능한 형태로 유지됩니다. 컨텍스트 문자열은 잘리기 전에 마스킹되며, 한 줄에서 발견된 모든 비밀 정보는 해당 줄의 모든 발견 항목 컨텍스트에서 마스킹되므로 보고서에 평문이 남지 않습니다. 오탐을 분류할 때는 전체 값을 보는 것이 더 빠른 경우가 많습니다. **-ShowSecrets**를 전달하면 콘솔, CSV, HTML 등 모든 출력에서 마스킹되지 않은 값을 볼 수 있습니다. 이 경우 콘솔과 HTML에 명확한 경고 배너가 표시되며, 보고서는 실제 자격 증명 자료로 취급해야 합니다:

Invoke-MBSecretScan -Path .\dump -ShowSecrets        # raw values, for local triage

Windows PowerShell 5.1 및 PowerShell 7+(Windows, Linux, macOS)에서 동작합니다.

결과물

실행할 때마다 세 가지 결과물이 생성됩니다:

cmdlet은 또한 발견 항목 객체를 파이프라인으로 내보내므로 후처리할 수 있습니다:

$f = Invoke-MBSecretScan -Path .\dump -Quiet
$f | Where-Object Severity -eq 'Critical' | Format-Table File,Line,RuleName

탐지 항목

전체 편집 가능한 규칙 세트는 Private/Get-MBSignature.ps1 에 있습니다. 각 규칙은 다음 필드를 가진 [PSCustomObject]입니다:

구조화된 CSV 열 페어링

Get-AzDomainInfo는 Automation 계정 변수와 앱 설정을 Name,Value[,Encrypted] 행으로 내보냅니다. 비밀 값은 Value 열에 있고, 이를 식별하는 키워드(예: ServiceAccountPwd, dbConnectionString)는 Name 열에 있습니다. 따라서 단순한 정규식으로는 같은 "줄"에서 둘을 볼 수 없고, 키워드는 단어 경계가 없는 복합 토큰 속에 묻혀 있습니다.

.csv / .tsv 파일의 경우 스캐너는 추가로 구조화된 열 페어링(Private/Get-MBCsvFinding.ps1)을 수행합니다:

• Name/Value 모드 — 각 행의 Name 셀을 분류합니다. 이 값이 민감하고 Value 셀에 실제 데이터가 있으면 보고합니다. Encrypted=True로 표시된 행은 건너뜁니다(값이 평문이 아니기 때문).
• 민감 열 모드 — 열 헤더 자체가 민감한 경우(Password 또는 StorageKey 열), 플레이스홀더가 아닌 모든 셀을 보고합니다.

이미 높은 신뢰도의 규칙이 적용되는 값(연결 문자열, 스토리지 키, SAS)은 더 정밀한 마스킹을 위해 원시 줄(raw-line) 검사로 넘어가며, 발견 항목은 카테고리별로 중복 제거되어 동일한 비밀이 두 번 보고되지 않습니다. 파일을 CSV로 파싱할 수 없으면 스캐너는 자동으로 일반 원시 줄 스캔으로 대체합니다.

값 측면 스캔 (-ScanValues)

위 페어링은 설정의 이름을 기준으로 합니다. 의미 없는 이름으로 저장된 비밀(예: Config1 = P@ssw0rd2026!)도 찾으려면 **-ScanValues**를 전달하세요. 값 셀의 내용을 두 가지 보수적인 Low(낮음) 심각도 휴리스틱으로 검사합니다:

• 비밀번호 유사 — 8~64자, 공백 없음, 강력한 특수 문자(!@#$%^&* …)와 문자 및 다른 문자 클래스 포함. Standard_D2s_v3처럼 기호가 _ - .뿐인 식별자 스타일 값은 무시합니다.
• 고엔트로피 — 16자 이상, 문자+숫자 혼합, 섀넌 엔트로피 ≥ -MinEntropy. 리소스 ID를 오탐하지 않도록 경로 / URL / 리소스 ID(/ 또는 \를 포함하는 모든 것)는 건너뜁니다.

Name/Value 테이블에서는 Value 열을, 자유 형식 테이블에서는 모든 셀을 스캔합니다. 이는 더 높은 재현율을 얻는 대신 오탐이 늘어날 수 있으므로 기본적으로 꺼져 있습니다. 더 깊이 있는 검색이 필요하면 켜고 Low 발견 항목을 분류하세요.

오탐 처리

Azure 덤프에는 비밀이 아닌 길고 무작위로 보이는 문자열이 가득합니다. 스캐너는 이러한 항목을 걸러냅니다:

• GUID(구독 / 테넌트 / 리소스 / 개체 ID)는 절대 플래그로 표시되지 않습니다.

• 플레이스홀더 및 비밀이 아닌 값 형태 — ********, null, <provide-at-deploy>, true/false, 반복 문자, 템플릿 토큰(${var}, %VAR%), JSON 객체/배열({...}, [...], 여러 줄 포함), 날짜/타임스탬프, 직렬화된 .NET 형식/컬렉션 이름(예: VM Scale Set의 Secrets 열이 System.Collections.Generic.List1[...VaultSecretGroup]로 렌더링되는 경우)은 건너뜁니다. 이는 형태 기반임에 유의하세요: 실제 평문 값을 담은 Secrets` 열은 여전히 플래그로 표시됩니다.

• 무해한 비밀번호 메타데이터 필드 — 이름에 키워드가 포함되어 있지만 비밀 자체가 아닌 비밀번호 정책/상태만 설명하는 디렉터리 열(PasswordProfile, PasswordPolicies, , , , …)입니다. 이러한 열은 / 같은 RBAC 내보내기에서 흔하며 플래그로 표시되지 않지만, 실제로 라는 이름의 열은 여전히 표시됩니다. 같은 권한 동사를 담는 Key Vault 액세스 정책 권한 열(, , …)도 마찬가지로 무시됩니다.

주요 매개변수

프로젝트 구조

MicroBurstSecretsHunter.psd1     Module manifest
MicroBurstSecretsHunter.psm1     Module loader
Scan-MicroBurst.ps1              Convenience wrapper script
Public/
  Invoke-MBSecretScan.ps1        Main cmdlet (file walk, matching, reporting)
Private/
  Get-MBSignature.ps1            Detection rule set (edit to extend)
  Get-MBCsvFinding.ps1           Structured CSV Name/Value column pairing
  MBHelpers.ps1                  Entropy, redaction, context rendering,
                                 CSV field escaping, line windowing,
                                 placeholder/GUID filters
  Write-MBConsoleSummary.ps1     Console output
  New-MBHtmlReport.ps1           HTML report generator
tests/
  sample-dump/                   Example Get-AzDomainInfo-style fixture

번들로 제공되는 샘플로 시도하려면:

.\Scan-MicroBurst.ps1 -Path .\tests\sample-dump

도구가 알려주는 커버리지 한계

스캐너가 읽지 못한 모든 것은 사각지대이며, 조용한 사각지대는 "여기서 아무것도 발견되지 않음"으로 읽힙니다. 따라서 스캐너는 이를 명시적으로 알려줍니다:

• -MaxFileSizeMB보다 큰 파일은 해당 파일을 명명하는 Write-Warning, 콘솔 요약의 NOT scanned 줄, HTML 보고서의 배너를 생성합니다.
• 읽을 수 없는 파일(잠김, 권한 거부)도 같은 방식으로 집계됩니다. 개별 경로를 보려면 -Verbose로 실행하세요.
• 긴 줄은 잘리지 않습니다. Azure 내보내기에서는 축소된 한 줄 JSON이 일반적이며, 14KB 한 줄 ARM 템플릿은 고정된 잘림 지점 너머에 AdminPassword를 쉽게 숨길 수 있습니다. 따라서 줄은 겹치는 8000자 창으로 스캔됩니다. 겹침으로 인한 중복 검출은 중복 제거 과정에서 제거됩니다.

참고 사항 및 주의사항

• 검출 결과가 없다고 해서 안전이 증명되는 것은 아닙니다. 이 도구를 수동 검토를 대체하는 것이 아니라 수동 검토의 효율을 높이는 도구로 취급하세요.
• 기본적으로 보고서는 비밀 값을 마스킹하지만 비밀이 어디에 있는지는 여전히 드러내므로, 민감한 작업 산출물로 취급하세요. -ShowSecrets를 사용하면 보고서에 전체 평문 자격 증명이 포함되므로 안전하게 보관하고 분류 후 삭제하세요.
• 이 도구는 읽기 전용이며 네트워크 호출을 하지 않습니다.