صيد أسرار Azure: أدوات MicroBurst Secrets Hunter و Secrets Stalker

قدم باحث من TrustedSec أداتين لتسريع البحث عن الأسرار في اشتراكات Azure وتقييم الوصول الممنوح عبر الأسرار المكتشفة. تكمل كلتا الأداتين جمع البيانات عبر MicroBurst (NetSPI)، وهي أداة لسرد أصول Azure باستخدام حساب مصادق عليه. يُنصح عمومًا بالوصول كمستعرض على مستوى الاشتراك للحصول على أقصى استفادة من MicroBurst.

Microburst Secrets Hunter — مرحلة ما بعد الجمع. تعمل بالكامل دون اتصال على البيانات التي يتم جمعها أثناء سرد MicroBurst ولا تصل إلى السحابة. القدرات: • تستخرج الأسرار من Logic Apps، وملحقات الأجهزة الافتراضية، وحسابات الأتمتة، وسجلات نشر موارد Azure؛ • يمكن تشغيلها كبرنامج نصي مستقل أو استيرادها كوحدة لاستخدام أمرها الداخلي؛ • تخفي النتائج افتراضيًا لأغراض الإبلاغ (يمكن عرض قيم الأسرار الكاملة باستخدام مفتاح منفصل).

Secrets Stalker — يقيّم نوع الوصول الذي يمنحه سر عميل تم اختراقه، بما في ذلك الوصول إلى Azure Resource Manager (ARM) أو Microsoft Graph. على عكس السرد الصاخب والمستهلك للوقت باستخدام AzureHound، فإن هذا فحص مستهدف. ما يظهره: • ما إذا كان السر صالحًا وتاريخ انتهائه؛ • أذونات Microsoft Graph؛ • مسارات تصعيد الامتيازات المحتملة (على سبيل المثال، صلاحية الكتابة لكائنات الدليل مثل المستخدمين والمجموعات).

يبرز المؤلف مسار هجوم منفصل: إذا كان التطبيق قادرًا على الكتابة إلى كائنات الدليل (المستخدمين والمجموعات)، يمكن استخدام مجموعة مُسندة بصلاحية مالك للاستيلاء على الاشتراك. يُعتبر الاستيلاء على الاشتراك أكثر قيمة من صلاحيات مدير عام: قد تكون الاشتراكات أقل مراقبة، مما يجعل تصعيد الامتيازات أكثر احتمالاً ليمر دون اكتشاف.

مقال: https://trustedsec.com/blog/the-art-of-hunting-azure-cloud-secrets أداة (Microburst Secrets Hunter): https://github.com/rootsecdev/MicroburstSecretsHunter أداة (Secrets Stalker): https://github.com/rootsecdev/SecretsStalker