EntraFalcon

EntraFalcon هي أداة تقييم مبنية على PowerShell مخصصة لمختبري الاختراق ومحللي الأمن ومسؤولي الأنظمة لتقييم الوضع الأمني لبيئة Microsoft Entra ID.

صُممت EntraFalcon لسهولة الاستخدام، وتعمل على PowerShell 5.1 و7، وتدعم كلًا من Windows وLinux، ولا تتطلب وحدات PowerShell إضافية أو تثبيتات إضافية أو موافقة من Microsoft Graph API.

تساعد الأداة في كشف الكائنات ذات الامتيازات العالية، والتعيينات التي قد تكون خطرة، وسوء إعدادات الوصول الشرطي التي غالبًا ما يتم تجاهلها، مثل:

• المستخدمون الذين لديهم تحكم في مجموعات أو تطبيقات عالية الامتياز
• تطبيقات المؤسسات الخارجية أو الداخلية ذات الأذونات المفرطة (مثل Microsoft Graph API وأدوار Azure)
• المستخدمون الذين لديهم تعيينات أدوار Azure IAM مباشرة على الموارد
• الحسابات ذات الامتيازات المتزامنة من البيئات المحلية (on-premises)
• المستخدمون غير النشطين أو المستخدمون الذين لا يملكون قدرة MFA
• المجموعات غير المحمية المستخدمة في تعيينات حساسة (مثل استثناءات الوصول الشرطي، أو مالك الاشتراك، أو عضو مؤهل في مجموعة ذات امتيازات)

تُعرض النتائج في تقارير HTML تفاعلية لدعم الاستكشاف والتحليل بكفاءة.

🚀 الميزات

• سكربت PowerShell بسيط متوافق مع PowerShell 5.1 و7. يعمل على Windows وLinux
• مصادقة مدمجة تدعم طرقًا متعددة
• يستخدم تطبيقات Microsoft من الطرف الأول ذات النطاقات الممنوحة مسبقًا لتجاوز مطالبات موافقة Graph API
• يُنشئ تقارير HTML قابلة للتنقل تدعم التصفية والفرز وتصدير البيانات وغيرها
• ينفذ أكثر من 90 فحصًا آليًا ويلخص النتائج في تقرير نتائج الأمان (Security Findings Report)
  • يتضمن فحوصات لضعف إعدادات المستأجر وخصائص أو أذونات الكائنات الخطرة
  • يوفر تصنيفات الخطورة بالإضافة إلى أوصاف المشكلة والتهديدات المحتملة وإرشادات المعالجة
  • يسرد الكائنات المتأثرة ويربط مباشرة بتقاريرها التفصيلية لمزيد من التحقيق
• ينفذ تقييمًا أساسيًا للتأثير والاحتمالية والمخاطر لتسليط الضوء على الكائنات عالية الامتياز ضعيفة الحماية وفرز البيانات
• يعرض تحذيرات للإعدادات الخطرة والامتيازات المرتفعة
• يعدد كائنات Entra ID، بما في ذلك:
  • المستخدمون (بما في ذلك مستخدمو الوكلاء - Agent Users)
  • المجموعات
  • تطبيقات المؤسسات
  • تسجيلات التطبيقات
  • الهويات المُدارة
  • هويات الوكلاء
  • المبادئ الأساسية لمخطط هوية الوكيل
  • مخططات هوية الوكيل
  • تعيينات PIM:
    • PIM لأدوار Entra
    • PIM للمجموعات
    • PIM لأدوار Azure
  • تعيينات أدوار Entra
  • تعيينات أدوار Azure
  • تعيينات Intune RBAC
  • حزم الوصول
  • كتالوجات إدارة الحقوق (Entitlement Management Catalogs)
  • RBAC للكتالوجات
  • سياسات الوصول الشرطي
  • الوحدات الإدارية
  • إعدادات PIM:
    • PIM لأدوار Entra
    • PIM للمجموعات (مصادقة BroCi فقط)

✅ المتطلبات

علاوة على ذلك، يجب أن تكون قادرًا على المصادقة على Microsoft Graph API واختياريًا على Azure ARM API من الجهاز الذي تشغّل عليه الأداة. تأكد من أن سياسات الوصول الشرطي لا تمنع مصادقتك.

▶️ الاستخدام

تنزيل EntraFalcon

للبدء، استنسخ المستودع وانتقل إلى دليل المشروع:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

ملاحظة: قد تحتاج إلى تغيير سياسة تنفيذ PowerShell مؤقتًا لتشغيل السكربت.
افعل ذلك فقط مع السكربتات الموثوقة!```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

تشغيل EntraFalcon

يتضمن EntraFalcon دعمًا مدمجًا لمصادقة Entra ID. استخدم -AuthFlow لتحديد تدفق المصادقة.

للتقييمات العادية، استخدم أحد تدفقات التغطية الكاملة:

يستخدم BroCi تسجيل دخول تفاعليًا واحدًا. بينما لا يستخدم BroCiToken وServicePrincipal أي تسجيل دخول تفاعلي. قد تتطلب تدفقات المستخدم الاحتياطية عمليات تسجيل دخول تفاعلية متعددة لأنه يتم طلب رموز موارد منفصلة.

موصى به: تدفق BroCi (الافتراضي / Windows فقط)

يستخدم BroCi تطبيقات تابعة لجهات خارجية بديلة ويتطلب تسجيل دخول تفاعليًا واحدًا فقط.
إنه مفيد عندما يتطلب عميل Azure Active Directory PowerShell تعيينًا ويجب تجنبه.```powershell .\run_EntraFalcon.ps1

اختيار BroCi الصريح:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

الموصى به: BroCi + تدفق الكود اليدوي```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. ينسخ السكربت رابط المصادقة إلى الحافظة.
2. الصق الرابط في المتصفح (اختياريًا على جهاز آخر لدعم الدخول الموحّد SSO).
3. افتح أدوات المطوّر في المتصفح، وفي تبويب Network، فعّل `Preserve log`.
4. أكمل عملية المصادقة.
5. ابحث في سجل الشبكة عن `code=1.` وانسخ رابط الطلب الذي يحتوي على الرمز إلى الحافظة.
6. اضغط Enter للمتابعة؛ يقرأ السكربت الرمز من الحافظة ويكمل الحصول على التوكن.


#### موصى به: BroCi مع التوكن
إذا كان توكن تحديث صالح لبوابة Azure متاحًا بالفعل (العميل c44b4083-3bb0-49c1-b47d-974e53cbdf3c)، يمكن استخدامه مباشرة.
مثال: الحصول على توكن التحديث من المتصفح
1. افتح أدوات المطوّر في المتصفح، وفي تبويب Network، فعّل Preserve log.
2. قم بالمصادقة على https://entra.microsoft.com.
3. ابحث في سجل الشبكة عن `brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c` واستخرج توكن التحديث من الاستجابة.```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

موصى به: Service Principal

يتم المصادقة كتطبيق مسجّل باستخدام منح بيانات اعتماد عميل OAuth2 — دون الحاجة إلى تفاعل المستخدم. مفيد لعمليات التنفيذ الآلي المتكررة.
يتطلب تسجيل تطبيق Entra مخصص بأذونات Graph API من نوع Application (انظر أدناه).

مع سر العميل:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

**مع شهادة PFX:**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePath "C:\certs\app.pfx"

للملف PFX المحمي بكلمة مرور، أضف -SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString).

مع شهادة PEM + المفتاح الخاص (PowerShell 7+ فقط):```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

للمفتاح الخاص المشفّر، أضف `-SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString)`.

##### أذونات تسجيل التطبيق المطلوبة
امنح أذونات **التطبيق** التالية (وليس المفوضة) على تسجيل التطبيق ووافق عليها من المسؤول:

| الصلاحية | النوع |
|---|---|
| `AdministrativeUnit.Read.All` | Application |
| `AgentIdentity.Read.All` | Application |
| `AgentIdentityBlueprint.Read.All` | Application |
| `AgentIdentityBlueprintPrincipal.Read.All` | Application |
| `Application.Read.All` | Application |
| `AuditLog.Read.All` | Application |
| `Device.Read.All` | Application |
| `EntitlementManagement.Read.All` | Application |
| `Group.Read.All` | Application |
| `Organization.Read.All` | Application |
| `Policy.Read.All` | Application |
| `PrivilegedAccess.Read.AzureADGroup` | Application |
| `RoleManagement.Read.Directory` | Application |
| `RoleManagementPolicy.Read.AzureADGroup` | Application |
| `User.Read.All` | Application |
| `DeviceManagementRBAC.Read.All` | Application |

بالإضافة إلى ذلك، قم بتعيين دور **Azure Reader** على مجموعة الإدارة الجذرية (أو كل اشتراك ذي صلة) واختياريًا دور **Global Reader** لكيان الخدمة في Entra ID (مطلوب لحالة المصادقة متعددة العوامل لكل مستخدم).

#### البديل: تدفق رمز التفويض (Windows فقط)```powershell
.\run_EntraFalcon.ps1 -AuthFlow AuthCode

الاحتياط: تدفق رمز الجهاز

غالبًا ما يكون مقيدًا بواسطة الوصول الشرطي في البيئات المحصّنة.
مع DeviceCode، يتم تشغيل فحصين من فحوصات النتائج الأمنية بعمق مخفّض (CAP-004 و CAP-005).```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

#### Fallback: تدفق رمز المصادقة + الرمز اليدوي```powershell
.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. ينسخ البرنامج النصي عنوان URL للمصادقة إلى الحافظة.
2. الصق عنوان URL في المتصفح (اختياريًا على جهاز آخر لدعم الدخول الموحّد SSO).
3. أكمل عملية المصادقة.
4. انسخ عنوان URL النهائي لإعادة التوجيه من شريط عنوان المتصفح (الذي يحتوي على رمز التفويض) إلى الحافظة.
5. اضغط على Enter للمتابعة؛ يقرأ البرنامج النصي الرمز من الحافظة ويكمل الحصول على التوكن.

معلمات أخرى

تضمين تطبيقات المؤسسات المملوكة لشركة Microsoft

افتراضيًا، يتم استبعاد تطبيقات المؤسسات الرسمية المملوكة لشركة Microsoft من التقييم لتقليل الضوضاء. لتضمينها في التعداد والتحليل، استخدم المفتاح -IncludeMsApps:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### تخطي تقييم PIM للمجموعات
استخدم مفتاح `-SkipPimForGroups` لتخطي مرحلة ما قبل الجمع والإثراء الخاصة بـ PIM للمجموعات.  
يؤدي هذا أيضًا إلى تخطي تقرير إعدادات `PIM for Groups` المستقل.```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

معلمات اختيارية أخرى

📊 بعض الأمثلة على التقارير

تقرير نتائج الأمان

المستخدمون

المستخدمون (قسم التفاصيل)

أدوار Entra ID

أدوار Azure

تطبيق المؤسسة (قسم التفاصيل)

سياسات الوصول المشروط

سياسات الوصول المشروط (قسم التفاصيل)

إعدادات أدوار PIM (Entra)

هويات الوكلاء

ملخص التعداد

📑 تقرير HTML

عام

• انقر على زر ⚙️ الأعمدة لإظهار أو إخفاء أعمدة محددة.
• انقر على 💾 تصدير لتنزيل CSV/JSON أو نسخ CSV/TSV/JSON للبيانات المرئية حالياً.
• انقر على 👁 مشاركة العرض لنسخ عوامل التصفية والفرز واختيار الأعمدة كرابط قابل للمشاركة.
• انقر على 🧰 العروض المسبقة لتطبيق عوامل تصفية واختيارات أعمدة مهيأة مسبقاً.
• انقر على 🔄 إعادة تعيين العرض لإعادة تعيين العرض إلى الوضع الافتراضي.
• انقر على أسماء الكائنات للانتقال إلى المعلومات التفصيلية، حتى في تقارير أخرى.
• عند استخدام التنقل الداخلي، اضغط على زر الرجوع في المتصفح للعودة.
• تعرض بعض حقول رؤوس الجداول نصاً مساعداً عند تمرير الماوس.
• قم بفرز البيانات بالنقر على رأس الجدول.
• انقر مع الضغط على Alt على رأس عمود رئيسي في الجدول لإخفاء هذا العمود بسرعة.
• انقر مع الضغط على Alt على صف محتوى رئيسي في الجدول لإخفائه مؤقتاً. استخدم شريحة الصفوف المخفية أو إعادة تعيين العرض لإظهار الصفوف المخفية مرة أخرى.

التصفية

• إذا لم يتم تحديد عامل تشغيل، تكون التصفية الافتراضية يحتوي على.
• استخدم = للمطابقة التامة.
• استخدم ^ لـ يبدأ بـ (مثال: ^Mallory).
• استخدم $ لـ ينتهي بـ (مثال: $domain.ch).
• عوامل المقارنة مثل >، <، >=، <= مدعومة (للقيم الرقمية فقط).
• يمكن نفي عوامل التصفية بالبدء بـ ! (باستثناء المقارنات الرقمية). أمثلة: !Mallory، !=Mallory، !^Mallory أو !$domain.ch.
• استخدم =empty لمطابقة الخلايا الفارغة، أو !=empty لمطابقة الخلايا غير الفارغة.
• استخدم || لمطابقة أي من القيم المتعددة في نفس العمود (مثال: Admin || Guest).
• استخدم && لطلب مطابقات متعددة في نفس العمود (مثال: !adm && !svc && !sql).
• لتطبيق منطق OR عبر الأعمدة، استخدم or_، group1_، group2_... مباشرة في حقل التصفية. أمثلة: في العمود 1: or_>1، في العمود 2: or_!Mallory
• ملاحظة: عمود DisplayName يتضمن أيضاً معرف الكائن (غير مرئي)، لذا يمكن التصفية حسب المعرف أيضاً.

التحكم باستخدام معلمات GET

• التصفية: قم بتطبيق عوامل التصفية باستخدام أسماء الحقول كمعلمات HTTP GET، مثال: ?EntraRoles=>1&Enabled=true.
  لتطبيق منطق OR عبر الأعمدة، استخدم البادئة or_ أو group1_ (مثال: ?or_EntraRoles=>0&or_GrpMem=>0).
• اختيار الأعمدة: اختر الأعمدة التي تريد عرضها باستخدام معلمة columns. مثال: ?columns=DisplayName,Owner.
• الفرز: قم بفرز البيانات باستخدام معلمتي sort وsortDir. مثال: ?sort=Impact&sortDir=desc أو ?sort=OwnerCount&sortDir=asc.
• تفاصيل الكائن: انتقل مباشرة إلى كائن محدد في التقرير باستخدام مرساة (#) ومعرف الكائن، مثال: #%ObjectID%.

التقييم

• التأثير: يمثل مقدار أو شدة الأذونات التي يمتلكها الكائن.
• الاحتمالية: تمثل مدى سهولة التأثير على الكائن أو مدى حمايته.
• المخاطر: النتيجة المحسوبة: التأثير × الاحتمالية = المخاطر.
• مهم:
  • هذا التقييم مخصص كتقييم أساسي للمساعدة في فرز وترتيب أولويات الإدخالات في الجدول.
  • درجات المخاطر ليست قابلة للمقارنة مباشرة عبر أنواع الكائنات أو التقارير المختلفة.
  • ليس المقصود منه استبدال تقييم المخاطر الكامل.

🔧 تحت الغطاء

تصنيف الأدوار

يتم تصنيف أدوار Entra ID وAzure تقريباً إلى مستويات مختلفة. يؤثر هذا التصنيف على درجات التأثير للكائنات المعينة لتلك الأدوار. الهدف هو تعيين درجة تأثير أعلى للمستخدمين ذوي الأدوار الأكثر قوة (مثل المسؤول العام) مقارنة بالمستخدمين ذوي الأدوار الأقل أهمية (مثل القارئ العام)، حتى لو اعتبرت Microsoft كليهما أدواراً مميزة.

ملاحظة: بالنسبة لأدوار Azure، هذا التصنيف أقل دقة، حيث يعتمد التأثير الفعلي بشكل كبير على نطاق تعيين الدور. على سبيل المثال، دور المالك على جهاز افتراضي واحد له تأثير أقل بكثير من تطبيق نفس الدور على اشتراك كامل. قد يكون أيضاً اشتراك اختبار بدون أي موارد.

تصنيف أذونات API

تسمح بعض أذونات API للتطبيق بالتصعيد مباشرة إلى امتيازات المسؤول العام. لذلك، يتم تصنيف العديد من أذونات API إلى مستويات شدة مختلفة. يؤثر هذا التصنيف على درجة تأثير التطبيقات التي لديها هذه الأذونات المعينة — إما كأذونات تطبيق أو أذونات مفوضة للمستخدمين.

تطبيقات المؤسسات من الطرف الأول لشركة Microsoft

بشكل افتراضي، يتم استبعاد تطبيقات Microsoft لتبسيط مراجعة تطبيقات المؤسسات. استخدم المفتاح -IncludeMsApps لتضمينها. يتم التعامل مع التطبيقات من المستأجرين التاليين على أنها مملوكة لشركة Microsoft:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

الفحوصات المنفذة

يلخص الجدول التالي بشكل تقريبي الفحوصات المنفذة، بالإضافة إلى تأثيرها على التقييم وما إذا كان يتم عرض تحذير.

🛡️ الاكتشاف

EntraFalcon ليس أداة خفية ويمكن اكتشافه في البيئات التي يتم فيها تسجيل ومراقبة نشاط Microsoft Graph API ونشاط تسجيل الدخول إلى Azure.

المصادقة الافتراضية المستخدمة

عند إجراء تعداد كامل مع تدفقات غير BroCi، تبدأ الأداة عادةً أربع عمليات تسجيل دخول تفاعلية وعملية تسجيل دخول واحدة غير تفاعلية. اعتمادًا على التدفق ودعم نقطة النهاية، قد يحدث تسجيل دخول تفاعلي إضافي واحد لنقاط نهاية سياسات نتائج الأمان.

مصادقة BroCi المستخدمة

عند استخدام مصادقة BroCi، يحدث تسجيل دخول تفاعلي واحد فقط.

عند تمكين BroCi، يستعلم EntraFalcon أيضًا عن api.azrbac.mspim.azure.com لـ PIM للمجموعات.

التفاصيل

لجمع البيانات، ترسل الأداة طلبات متعددة إلى Microsoft Graph API، وبشكل اختياري، إلى Azure ARM API—طلب واحد أو أكثر لكل كائن. حيثما أمكن، تستفيد من نقطة نهاية Graph Batch لتقليل عدد الطلبات الفردية وتحسين الكفاءة.

تستخدم عمليات تسجيل الدخول التفاعلية User-Agent الخاص بالمتصفح. تستخدم جميع عمليات تسجيل الدخول غير التفاعلية وطلبات API (Graph وARM) EntraFalcon كـ User-Agent، ما لم يتم تغييره باستخدام معلمة -UserAgent.

لاكتشاف استخدام EntraFalcon، يمكن لفرق الأزرق مراقبة معرفات التطبيقات المدرجة في سجلات تسجيل الدخول، أو البحث عن أحجام غير عادية من حركة مرور Graph API، أو تحليل سلوك تحديث الرموز وطلبات الدفعات.

🕳️ القيود المعروفة

• M365 RBAC: غير مُقيَّم
• Defender for Endpoint RBAC: غير مُقيَّم
• تغطية مستخدمي الوصول الشرطي: تغطية المستخدم الفعلية و-ExportCapUncoveredUsers هي حسابات بأفضل جهد تستند إلى المستخدمين المعددين وأعضاء المجموعات وتعيينات الأدوار وفئات المستخدمين الخارجيين القابلة للحل. يتم حل محددات المستخدمين الخارجيين فقط لمستخدمي الضيوف في المستأجر المطابقين لـ b2bCollaborationGuest. قد تجعل أنواع المستخدمين الخارجيين الأخرى أو المستخدمين الخارجيين ذوي المستأجرين الخارجيين المحددين قيم التغطية تقريبية. يتم الإبلاغ عن مسارات PIM المؤهلة كتغطية محتملة ولا يتم احتسابها كمغطاة حاليًا. يقتصر تصدير CSV على السياسات المفعّلة والمستخدمين المفعّلين.
• البيئة السحابية: تتطور المنصات السحابية بسرعة. نتيجة لذلك، قد تصبح بعض التقييمات أو الاكتشافات قديمة أو غير دقيقة بمرور الوقت. علاوة على ذلك، أصبحت المستأجرات معقدة بشكل متزايد، وقد تؤدي تكوينات محددة أو مجموعات من الإعدادات إلى نتائج غير دقيقة. بينما نسعى جاهدين للحفاظ على تحديث EntraFalcon، يُنصح دائمًا بالتحقق من النتائج بشكل مستقل وعدم الاعتماد فقط على الأداة للقرارات الحرجة.
• تقارير HTML: لا تنفذ تقارير HTML المُنشأة آليات حماية ضد البرمجة النصية عبر المواقع (XSS).

📦 الأدوات الخارجية المدمجة

تم تفرع الوحدات الفرعية التالية ودمجها في EntraFalcon لدعم المصادقة والتفاعل مع Microsoft Graph ورسوم التقارير:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js