MicroBurst 机密猎手

一个 PowerShell 扫描器，用于梳理 MicroBurst Get-AzDomainInfo 的输出，查找明文密码、密钥、连接字符串以及其他绝不应以未加密形式存在于 Azure 环境中的机密。

专为 只读审计工作流 而构建：你可以使用 MicroBurst 收集域转储（对于 Get-AzDomainInfo，Reader 权限就足够了），然后将此工具指向输出文件夹。它不会接触 Azure 本身——它只读取你已经导出的文件。机密值在所有报告中都被脱敏，因此输出可以安全地附加到发现项中。

快速开始

# Clone / copy this folder, then from a PowerShell prompt:
.\Scan-MicroBurst.ps1 -Path .\MicroBurst-2026 -Verbose

或者导入模块并直接使用 cmdlet：

Import-Module .\MicroBurstSecretsHunter.psd1 -Force
Invoke-MBSecretScan -Path .\MicroBurst-2026

报告会写入当前目录下带时间戳的文件夹（MBSecretScan-<timestamp>），除非你传递 -OutputDirectory。

默认情况下，每个值都会被脱敏，因此报告可以安全共享。披露的字符量按值长度的四分之一计算（最多 4 个前导 + 2 个尾随字符），而长度为 8 或更短的所有内容都会被替换为固定宽度的掩码——因此典型密码显示为 ********，而 88 字符的存储密钥仍可识别为 AAAA**********AA。上下文字符串会在截断之前先被脱敏，并且一行上发现的每个机密都会从该行每个发现项的上下文中脱敏，因此报告中不会保留任何明文。在处理误报时，通常更快的方式是查看完整值——传递 -ShowSecrets 可在所有输出（控制台、CSV、HTML）中发出未脱敏的值。控制台和 HTML 随后会显示清晰的警告横幅，并且这些报告必须作为实时凭证材料对待：

Invoke-MBSecretScan -Path .\dump -ShowSecrets        # raw values, for local triage

适用于 Windows PowerShell 5.1 和 PowerShell 7+（Windows、Linux、macOS）。

输出内容

每次运行都会产生三样东西：

该 cmdlet 还会将发现对象输出到管道中，因此你可以进行后续处理：

$f = Invoke-MBSecretScan -Path .\dump -Quiet
$f | Where-Object Severity -eq 'Critical' | Format-Table File,Line,RuleName

检测内容

完整且可编辑的规则集位于 Private/Get-MBSignature.ps1 中。每条规则都是一个 [PSCustomObject]，包含以下字段：

结构化 CSV 列配对

Get-AzDomainInfo 将自动化帐户变量和应用设置导出为 Name,Value[,Encrypted] 行。机密位于 Value 列中，而标识它的关键字（例如 ServiceAccountPwd、dbConnectionString）位于 Name 列中——因此普通正则表达式永远不会在同一“行”中同时看到它们，并且该关键字被埋在复合令牌中，没有单词边界。

对于 .csv / .tsv 文件，扫描器还会执行结构化列配对（Private/Get-MBCsvFinding.ps1）：

• Name/Value 模式——对每行的 Name 单元格进行分类；如果它敏感且 Value 单元格包含真实数据，则报告。标记为 Encrypted=True 的行会被跳过（该值不是明文）。
• 敏感列模式——如果列标题本身敏感（例如 Password 或 StorageKey 列），则报告每个非占位符单元格。

已被高置信度规则覆盖的值（连接字符串、存储密钥、SAS）会推迟到原始行传递中进行更严格的脱敏，并且发现项按类别去重，因此同一机密绝不会被报告两次。如果文件无法解析为 CSV，扫描器会自动回退到正常的原始行扫描。

值侧扫描（-ScanValues）

上述配对以设置的名称（Name）为键。为了也捕获存储在无意义名称下的机密（例如 Config1 = P@ssw0rd2026!），请传递 -ScanValues。它会使用两种保守的 Low 严重级别启发式规则检查值单元格的内容（content）：

• 类似密码——8–64 个字符，无空白，包含一个强特殊字符（!@#$%^&* …）以及字母和另一类别。标识符风格的值（如 Standard_D2s_v3，其唯一符号是 _ - .）会被忽略。
• 高熵——≥ 16 个字符，字母+数字混合，香农熵 ≥ -MinEntropy。包含 / 或 \ 的路径 / URL / 资源 ID 会被跳过，以避免标记资源 ID。

在 Name/Value 表中，它扫描 Value 列；在自由格式表中，它扫描每个单元格。这是以更高的召回率换取更多误报，因此默认关闭——如需更深入的扫描，请开启它，然后对 Low 发现项进行分级处理。

误报处理

Azure 转储中充满了长的、看起来是随机生成但并非机密的字符串。扫描器会将其过滤掉：

• GUID（订阅 / 租户 / 资源 / 对象 ID）永远不会被标记。

• 占位符与非机密值形态——********、null、<provide-at-deploy>、true/false、重复字符、模板令牌（${var}、%VAR%）、JSON 对象/数组（{...}、[...]，包括多行）、日期/时间戳，以及序列化的 .NET 类型/集合名称（例如 VM 规模集的 Secrets 列渲染为 System.Collections.Generic.List1[...VaultSecretGroup]）——都会被跳过。注意这是基于形态的：一个保存了实际明文值的 Secrets` 列仍会被标记。

• 良性的密码元数据字段——名称包含关键字但仅描述密码策略/状态、绝不包含机密本身的目录列（PasswordProfile、PasswordPolicies、、、 等）。这些在 RBAC 导出（如 / ）中很常见，不会被标记，而真正名为 的列仍会被标记。Key Vault 访问策略权限列（、 等）——保存诸如 之类的权限动词——同样会被忽略。

主要参数

项目结构

MicroBurstSecretsHunter.psd1     Module manifest
MicroBurstSecretsHunter.psm1     Module loader
Scan-MicroBurst.ps1              Convenience wrapper script
Public/
  Invoke-MBSecretScan.ps1        Main cmdlet (file walk, matching, reporting)
Private/
  Get-MBSignature.ps1            Detection rule set (edit to extend)
  Get-MBCsvFinding.ps1           Structured CSV Name/Value column pairing
  MBHelpers.ps1                  Entropy, redaction, context rendering,
                                 CSV field escaping, line windowing,
                                 placeholder/GUID filters
  Write-MBConsoleSummary.ps1     Console output
  New-MBHtmlReport.ps1           HTML report generator
tests/
  sample-dump/                   Example Get-AzDomainInfo-style fixture

要针对捆绑的示例进行尝试：

.\Scan-MicroBurst.ps1 -Path .\tests\sample-dump

工具会告诉你的覆盖范围限制

扫描器无法读取的任何内容都是一个盲点，而沉默的盲点会被解读为“这里什么也没找到”。因此扫描器会明确说明这些问题：

• 超过 -MaxFileSizeMB 的文件会产生一个指出它们的 Write-Warning、控制台摘要中的 NOT scanned 行，以及 HTML 报告上的横幅。
• 无法读取的文件（被锁定、权限被拒绝）以同样的方式计数；使用 -Verbose 运行可查看各个路径。
• 长行不会被截断。Azure 导出中通常会出现压缩的单行 JSON，而一个 14 KB 的单行 ARM 模板可以轻易地将 AdminPassword 藏在任何固定截断点之后，因此行会以重叠的 8000 字符窗口进行扫描。重叠产生的重复命中会在去重中合并。

说明与注意事项

• **未检测到内容并不代表安全。**请将此工具视为人工审查的增效器，而非替代品。
• 默认情况下，报告会对机密值进行脱敏，但仍会揭示机密所在的位置，因此请将其作为敏感的评估工件处理。使用 -ShowSecrets 时，它们会包含完整明文凭据——请安全存储并在处理后删除。
• 该工具是只读的，不会发起任何网络调用。