https://cyberveille.ch/tags/sift/ Recent content in Sift on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Thu, 08 Oct 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-10-08-sift-secrets-outil-open-source-de-triage-de-credentials-exposes-sur-partages-reseau/ Thu, 08 Oct 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-10-08-sift-secrets-outil-open-source-de-triage-de-credentials-exposes-sur-partages-reseau/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié sur GitHub (HotStartLabs/sift), cet article présente <strong>Sift Secrets</strong>, un outil de triage de credentials et de données sensibles exposées sur des partages de fichiers réseau (SMB/DFS). Il est conçu pour les analystes en réponse à incident (IR) opérant sur des machines isolées.</p> <h2 id="-fonctionnalités-principales">🛠️ Fonctionnalités principales</h2> <ul> <li><strong>Scan de partages réseau</strong> (SMB, DFS) à la recherche de credentials et secrets exposés</li> <li><strong>Interface de triage interactive</strong> avec raccourcis clavier, contexte élargi, et ouverture directe dans VS Code ou Notepad</li> <li><strong>Boucle de feedback</strong> : création de règles à la volée depuis l&rsquo;interface, avec rescan incrémental (~1 seconde)</li> <li><strong>Copie locale rate-limitée</strong> (5 MB/s par défaut, résumable) pour préserver l&rsquo;intégrité du partage source</li> <li><strong>Exportation</strong> en PDF, CSV, MD et JSON, avec <strong>redaction automatique</strong> des valeurs sensibles</li> <li><strong>Import de règles</strong> depuis gitleaks (TOML), Kingfisher/Titus (YAML), trufflehog (JSON)</li> <li><strong>Mode portable</strong> : archive zip ~11 MB avec runtime Python embarqué, sans installation ni droits admin</li> </ul> <h2 id="-types-de-fichiers-ciblés-non-couverts-par-les-outils-ci-classiques">🎯 Types de fichiers ciblés (non couverts par les outils CI classiques)</h2> <ul> <li><code>web.config</code> avec chaînes de connexion SQL</li> <li>Scripts PowerShell avec <code>net use ... /user:</code></li> <li>Fichiers Office (<code>.docx</code>, <code>.xlsx</code>) contenant des mots de passe</li> <li><code>unattend.xml</code>, <code>GPP Groups.xml</code> (artefacts de déploiement Windows)</li> <li><code>confCons.xml</code>, <code>.rdg</code>, <code>WinSCP.ini</code> (mots de passe réversibles stockés)</li> <li>Fichiers <code>.kdbx</code>, <code>.pfx</code>, <code>id_rsa</code> (détection par nom de fichier)</li> <li>Fichiers <code>.bak</code> contenant des chaînes de connexion</li> </ul> <h2 id="-sécurité-de-loutil-lui-même">🔐 Sécurité de l&rsquo;outil lui-même</h2> <ul> <li>Interface web liée à <strong>127.0.0.1 uniquement</strong></li> <li>Token aléatoire par lancement, cookie <code>SameSite=Strict</code></li> <li>Validation du header <code>Host</code> (protection contre DNS rebinding)</li> <li>CSP sans origines externes</li> <li>API <code>/api/context</code> et <code>/api/open</code> limitées aux chemins déjà indexés</li> </ul> <h2 id="-système-de-règles-3-niveaux">📊 Système de règles (3 niveaux)</h2> <ul> <li><strong>Tier 1</strong> : formats de clés vendor, blocs PEM, GPP cpassword, dumps NTLM — non ambigus</li> <li><strong>Tier 2</strong> (défaut) : règles de proximité (mot-clé secret + valeur)</li> <li><strong>Tier 3</strong> : chaînes haute entropie, hex long, IBANs — haute sensibilité, bruit élevé</li> </ul> <h2 id="-type-darticle">📝 Type d&rsquo;article</h2> <p>Il s&rsquo;agit d&rsquo;une <strong>présentation d&rsquo;outil open-source</strong> (nouveaux outils) destinée aux analystes IR et CTI, visant à combler les lacunes des scanners CI (gitleaks, trufflehog) dans le contexte spécifique du triage de partages de fichiers exposés.</p>