EntraFalcon

EntraFalcon ist ein auf PowerShell basierendes Bewertungstool für Pentester, Sicherheitsanalysten und Systemadministratoren, um die Sicherheitslage einer Microsoft-Entra-ID-Umgebung zu bewerten.

EntraFalcon ist auf Benutzerfreundlichkeit ausgelegt, läuft unter PowerShell 5.1 und 7, unterstützt sowohl Windows als auch Linux und erfordert keine zusätzlichen PowerShell-Module, keine weiteren Installationen und keine Zustimmung zur Microsoft-Graph-API.

Das Tool hilft dabei, privilegierte Objekte, potenziell riskante Zuweisungen und Fehlkonfigurationen von Conditional Access aufzudecken, die oft übersehen werden, wie zum Beispiel:

• Benutzer mit Kontrolle über Gruppen oder Anwendungen mit hohen Privilegien
• Externe oder interne Unternehmensanwendungen mit übermäßigen Berechtigungen (z. B. Microsoft-Graph-API, Azure-Rollen)
• Benutzer mit direkten Azure-IAM-Rollenzuweisungen auf Ressourcen
• Privilegierte Konten, die aus der lokalen Umgebung synchronisiert wurden
• Inaktive Benutzer oder Benutzer ohne MFA-Fähigkeit
• Ungeschützte Gruppen, die in sensiblen Zuweisungen verwendet werden (z. B. Conditional-Access-Ausschlüsse, Abonnementbesitzer oder berechtigte Mitglieder einer privilegierten Gruppe)

Die Ergebnisse werden in interaktiven HTML-Berichten präsentiert, um eine effiziente Erkundung und Analyse zu unterstützen.

🚀 Funktionen

• Einfaches PowerShell-Skript, kompatibel mit PowerShell 5.1 und 7. Funktioniert unter Windows und Linux
• Integrierte Authentifizierung mit Unterstützung mehrerer Methoden
• Verwendet Microsoft-Erstanbieteranwendungen mit vorab genehmigten Bereichen, um Graph-API-Zustimmungsaufforderungen zu umgehen
• Erzeugt navigierbare HTML-Berichte, die Filtern, Sortieren, Datenexport usw. unterstützen
• Führt mehr als 90 automatisierte Prüfungen durch und fasst die Ergebnisse in einem Sicherheitsbefundbericht zusammen
  • Enthält Prüfungen auf schwache Mandantenkonfigurationen und riskante Objekteigenschaften oder -berechtigungen
  • Bietet Schweregrade sowie Beschreibungen des Problems, potenzielle Bedrohungen und Anleitungen zur Behebung
  • Listet betroffene Objekte auf und verlinkt direkt auf deren detaillierte Berichte für weitere Untersuchungen
• Führt eine grundlegende Bewertung von Auswirkung, Wahrscheinlichkeit und Risiko durch, um schwach geschützte Objekte mit hohen Privilegien hervorzuheben und die Daten zu sortieren
• Zeigt Warnungen für riskante Konfigurationen und erhöhte Privilegien an
• Listet Entra-ID-Objekte auf, einschließlich:
  • Benutzer (einschließlich Agent-Benutzer)
  • Gruppen
  • Unternehmensanwendungen
  • App-Registrierungen
  • Verwaltete Identitäten
  • Agent-Identitäten
  • Blueprint-Prinzipale der Agent-Identität
  • Blueprints der Agent-Identität
  • PIM-Zuweisungen:
    • PIM für Entra-Rollen
    • PIM für Gruppen
    • PIM für Azure-Rollen
  • Entra-Rollenzuweisungen
  • Azure-Rollenzuweisungen
  • Intune-RBAC-Zuweisungen
  • Zugriffspakete
  • Kataloge für Berechtigungsverwaltung
  • Katalog-RBAC
  • Conditional-Access-Richtlinien
  • Administrative Einheiten
  • PIM-Einstellungen:
    • PIM für Entra-Rollen
    • PIM für Gruppen (nur BroCi-Authentifizierung)

✅ Anforderungen

Darüber hinaus müssen Sie in der Lage sein, sich von dem Gerät, auf dem Sie das Tool ausführen, bei der Microsoft-Graph-API und optional bei der Azure-ARM-API zu authentifizieren. Stellen Sie sicher, dass Conditional-Access-Richtlinien Ihre Authentifizierung nicht blockieren.

▶️ Verwendung

EntraFalcon herunterladen

Klonen Sie zunächst das Repository und navigieren Sie in das Projektverzeichnis:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Hinweis: Möglicherweise müssen Sie die PowerShell-Ausführungsrichtlinie vorübergehend ändern, um das Skript auszuführen.
Tun Sie dies nur für vertrauenswürdige Skripte!```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

EntraFalcon ausführen

EntraFalcon bietet integrierte Unterstützung für die Entra-ID-Authentifizierung. Verwenden Sie -AuthFlow, um den Authentifizierungsablauf auszuwählen.

Für normale Bewertungen verwenden Sie einen der Abläufe mit vollständiger Abdeckung:

BroCi verwendet eine interaktive Anmeldung. BroCiToken und ServicePrincipal verwenden keine. Fallback-Benutzerabläufe können mehrere interaktive Anmeldungen erfordern, da separate Ressourcentokens angefordert werden.

Empfohlen: BroCi-Ablauf (Standard / nur Windows)

BroCi verwendet alternative First-Party-Anwendungen und erfordert nur eine interaktive Anmeldung.
Er ist nützlich, wenn der Azure Active Directory PowerShell-Client eine Zuweisung erfordert und vermieden werden muss.```powershell .\run_EntraFalcon.ps1

Explizite BroCi-Auswahl:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

Empfohlen: BroCi + manueller Code-Flow```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. Das Skript kopiert die Authentifizierungs-URL in die Zwischenablage.
2. Fügen Sie die URL in einen Browser ein (optional auf einem anderen Gerät für SSO-Unterstützung).
3. Öffnen Sie die Entwicklertools des Browsers und aktivieren Sie im Netzwerk-Tab `Protokoll beibehalten`.
4. Schließen Sie die Authentifizierung ab.
5. Durchsuchen Sie das Netzwerkprotokoll nach `code=1.` und kopieren Sie die Anforderungs-URL mit dem Code in die Zwischenablage.
6. Drücken Sie die Eingabetaste, um fortzufahren; das Skript liest den Code aus der Zwischenablage und schließt den Token-Abruf ab.


#### Empfohlen: BroCi mit Token
Wenn bereits ein gültiges Azure-Portal-Refresh-Token verfügbar ist (Client c44b4083-3bb0-49c1-b47d-974e53cbdf3c), kann es direkt verwendet werden.
Beispiel: Abrufen des Refresh-Tokens aus dem Browser
1. Öffnen Sie die Entwicklertools des Browsers und aktivieren Sie im Netzwerk-Tab die Option Protokoll beibehalten.
2. Authentifizieren Sie sich unter https://entra.microsoft.com.
3. Durchsuchen Sie das Netzwerkprotokoll nach `brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c` und extrahieren Sie das Refresh-Token aus der Antwort.```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

Empfohlen: Dienstprinzipal

Authentifiziert sich als registrierte Anwendung über den OAuth2-Client-Credentials-Grant – keine Benutzerinteraktion erforderlich. Nützlich für wiederholte automatisierte Ausführungen.
Erfordert eine benutzerdefinierte Entra-App-Registrierung mit Graph-API-Berechtigungen vom Typ Application (siehe unten).

Mit Client-Geheimnis:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

**Mit PFX-Zertifikat:**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePath "C:\certs\app.pfx"

Für ein passwortgeschütztes PFX fügen Sie -SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString) hinzu.

Mit PEM-Zertifikat + privatem Schlüssel (nur PowerShell 7+):```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Für einen verschlüsselten privaten Schlüssel fügen Sie `-SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString)` hinzu.

##### Erforderliche App-Registrierungsberechtigungen
Gewähren Sie die folgenden **Anwendungs**-Berechtigungen (nicht delegierte) auf der App-Registrierung und stimmen Sie ihnen als Administrator zu:

| Berechtigung | Typ |
|---|---|
| `AdministrativeUnit.Read.All` | Anwendung |
| `AgentIdentity.Read.All` | Anwendung |
| `AgentIdentityBlueprint.Read.All` | Anwendung |
| `AgentIdentityBlueprintPrincipal.Read.All` | Anwendung |
| `Application.Read.All` | Anwendung |
| `AuditLog.Read.All` | Anwendung |
| `Device.Read.All` | Anwendung |
| `EntitlementManagement.Read.All` | Anwendung |
| `Group.Read.All` | Anwendung |
| `Organization.Read.All` | Anwendung |
| `Policy.Read.All` | Anwendung |
| `PrivilegedAccess.Read.AzureADGroup` | Anwendung |
| `RoleManagement.Read.Directory` | Anwendung |
| `RoleManagementPolicy.Read.AzureADGroup` | Anwendung |
| `User.Read.All` | Anwendung |
| `DeviceManagementRBAC.Read.All` | Anwendung |

Zusätzlich weisen Sie dem Dienstprinzipal in Entra ID die Rolle **Azure Reader** auf der Stammverwaltungsgruppe (oder jedem relevanten Abonnement) und optional die Rolle **Global Reader** zu (erforderlich für den MFA-Status pro Benutzer).

#### Fallback: Auth-Code-Flow (nur Windows)```powershell
.\run_EntraFalcon.ps1 -AuthFlow AuthCode

Fallback: Device Code Flow

In gehärteten Umgebungen wird dies häufig durch Conditional Access eingeschränkt.
Mit DeviceCode laufen zwei Security-Findings-Prüfungen mit reduzierter Tiefe (CAP-004 und CAP-005).```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

#### Fallback: Auth-Code + manueller Code-Flow```powershell
.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. Das Skript kopiert die Authentifizierungs-URL in die Zwischenablage.
2. Fügen Sie die URL in einen Browser ein (optional auf einem anderen Gerät für SSO-Unterstützung).
3. Schließen Sie die Authentifizierung ab.
4. Kopieren Sie die endgültige Weiterleitungs-URL aus der Browser-Adressleiste (die den Autorisierungscode enthält) in die Zwischenablage.
5. Drücken Sie die Eingabetaste, um fortzufahren; das Skript liest den Code aus der Zwischenablage und schließt den Token-Abruf ab.

Weitere Parameter

Microsoft-eigene Enterprise-Apps einbeziehen

Standardmäßig werden offizielle Microsoft-Enterprise-Anwendungen von der Bewertung ausgeschlossen, um Rauschen zu reduzieren. Um sie in die Aufzählung und Analyse einzubeziehen, verwenden Sie den Schalter -IncludeMsApps:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### Bewertung von PIM für Gruppen überspringen
Verwenden Sie den Schalter `-SkipPimForGroups`, um die Vorab-Erfassung und Anreicherung von PIM für Gruppen zu überspringen.  
Dadurch wird auch der eigenständige Bericht zu den Einstellungen von `PIM für Gruppen` übersprungen.```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

Weitere optionale Parameter

📊 Einige Beispielberichte

Security Finding Report

Benutzer

Benutzer (Detailbereich)

Entra-ID-Rollen

Azure-Rollen

Unternehmensanwendung (Detailbereich)

Conditional-Access-Richtlinien

Conditional-Access-Richtlinien (Detailbereich)

PIM-Rolleneinstellungen (Entra)

Agent-Identitäten

Aufzählungsübersicht

📑 HTML-Bericht

Allgemein

• Klicken Sie auf die Schaltfläche ⚙️ Spalten, um bestimmte Spalten ein- oder auszublenden.
• Klicken Sie auf 💾 Export, um CSV/JSON der aktuell sichtbaren Daten herunterzuladen oder CSV/TSV/JSON zu kopieren.
• Klicken Sie auf 👁 Ansicht teilen, um Filter, Sortierung und Spaltenauswahl als teilbaren Link zu kopieren.
• Klicken Sie auf 🧰 Voreingestellte Ansichten, um vorkonfigurierte Filter und Spaltenauswahlen anzuwenden.
• Klicken Sie auf 🔄 Ansicht zurücksetzen, um die Ansicht auf den Standard zurückzusetzen.
• Klicken Sie auf Objektnamen, um zu detaillierten Informationen zu springen, auch in anderen Berichten.
• Wenn Sie die interne Navigation verwenden, drücken Sie die Zurück-Taste des Browsers, um zurückzukehren.
• Einige Tabellenkopfzeilen zeigen Hilfetext beim Überfahren mit der Maus an.
• Sortieren Sie Daten, indem Sie auf eine Tabellenkopfzeile klicken.
• Alt+Klick auf eine Haupttabellen-Spaltenkopfzeile blendet diese Spalte schnell aus.
• Alt+Klick auf eine Haupttabellen-Inhaltszeile blendet sie vorübergehend aus. Verwenden Sie den Chip für ausgeblendete Zeilen oder „Ansicht zurücksetzen“, um ausgeblendete Zeilen wieder anzuzeigen.

Filtern

• Wenn kein Operator angegeben ist, verwendet das Filtern standardmäßig enthält.
• Verwenden Sie = für eine exakte Übereinstimmung.
• Verwenden Sie ^ für beginnt mit (z. B. ^Mallory).
• Verwenden Sie $ für endet mit (z. B. $domain.ch).
• Vergleichsoperatoren wie >, <, >=, <= werden unterstützt (nur numerische Werte).
• Filter können durch Voranstellen von ! negiert werden (außer bei numerischen Vergleichen). Beispiele: !Mallory, !=Mallory, !^Mallory oder !$domain.ch.
• Verwenden Sie =empty, um leere Zellen abzugleichen, oder !=empty, um nicht leere Zellen abzugleichen.
• Verwenden Sie ||, um mehrere Werte in derselben Spalte abzugleichen (z. B. Admin || Guest).
• Verwenden Sie &&, um mehrere Übereinstimmungen in derselben Spalte zu verlangen (z. B. !adm && !svc && !sql).
• Um ODER-Logik über Spalten hinweg anzuwenden, verwenden Sie or_, group1_, group2_... direkt in einem Filterfeld. Beispiele: in Spalte 1: or_>1, in Spalte 2: or_!Mallory
• Hinweis: Die Spalte DisplayName enthält auch die ID des Objekts (unsichtbar), sodass auch nach ID gefiltert werden kann.

Steuerung über GET-Parameter

• Filtern: Wenden Sie Filter an, indem Sie Feldnamen als HTTP-GET-Parameter verwenden, z. B. ?EntraRoles=>1&Enabled=true.
  Um ODER-Logik über Spalten hinweg anzuwenden, verwenden Sie das Präfix or_ oder group1_ (z. B. ?or_EntraRoles=>0&or_GrpMem=>0).
• Spaltenauswahl: Wählen Sie aus, welche Spalten angezeigt werden sollen, mithilfe des Parameters columns. Beispiel: ?columns=DisplayName,Owner.
• Sortierung: Sortieren Sie die Daten mithilfe der Parameter sort und sortDir. Beispiel: ?sort=Impact&sortDir=desc oder ?sort=OwnerCount&sortDir=asc.
• Objektdetails: Springen Sie direkt zu einem bestimmten Objekt im Bericht mithilfe eines Ankers (#) und der Objekt-ID, z. B. #%ObjectID%.

Bewertung

• Impact: Stellt den Umfang oder die Schwere der Berechtigungen dar, die das Objekt besitzt.
• Likelihood: Stellt dar, wie leicht das Objekt beeinflusst werden kann oder wie gut es geschützt ist.
• Risk: Berechneter Wert: Impact × Likelihood = Risk.
• Wichtig:
  • Diese Bewertung ist als grundlegende Einschätzung gedacht, um Einträge in der Tabelle zu sortieren und zu priorisieren.
  • Risikowerte sind nicht direkt über verschiedene Objekttypen oder Berichte hinweg vergleichbar.
  • Sie ist nicht als Ersatz für eine vollständige Risikobewertung gedacht.

🔧Unter der Haube

Rollenkategorisierung

Entra-ID- und Azure-Rollen werden grob in verschiedene Tier-Ebenen kategorisiert. Diese Kategorisierung beeinflusst die Impact-Werte von Objekten, denen diese Rollen zugewiesen sind. Das Ziel ist es, Benutzern mit mächtigeren Rollen (z. B. Global Administrator) einen höheren Impact-Wert zuzuweisen als Benutzern mit weniger kritischen Rollen (z. B. Global Reader), auch wenn beide von Microsoft als privilegierte Rollen betrachtet werden.

Hinweis: Für Azure-Rollen ist diese Kategorisierung weniger präzise, da der tatsächliche Impact stark vom Umfang der Rollenzuweisung abhängt. Beispielsweise hat eine Owner-Rolle auf einer einzelnen virtuellen Maschine deutlich weniger Impact, als wenn dieselbe Rolle auf ein gesamtes Abonnement angewendet wird. Es könnte sich auch um ein Testabonnement ohne Ressourcen handeln.

API-Berechtigungskategorisierung

Bestimmte API-Berechtigungen ermöglichen es einer Anwendung, direkt auf Global-Administrator-Rechte zu eskalieren. Daher werden mehrere API-Berechtigungen in verschiedene Schweregrade kategorisiert. Diese Kategorisierung beeinflusst den Impact-Wert von Anwendungen, denen diese Berechtigungen zugewiesen sind – entweder als Anwendungsberechtigungen oder als delegierte Berechtigungen für Benutzer.

Microsoft-Erstanbieter-Unternehmensanwendungen

Standardmäßig werden Microsoft-Anwendungen herausgefiltert, um die Überprüfung der Unternehmensanwendungen zu vereinfachen. Verwenden Sie den Schalter -IncludeMsApps, um sie einzuschließen. Anwendungen aus den folgenden Mandanten werden als Microsoft-eigen behandelt:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Durchgeführte Prüfungen

Die folgende Tabelle fasst die durchgeführten Prüfungen grob zusammen, einschließlich ihrer Auswirkung auf die Bewertung und ob eine Warnung angezeigt wird.

🛡️ Erkennung

EntraFalcon ist nicht heimlich und kann in Umgebungen erkannt werden, in denen Microsoft Graph API- und Azure-Anmeldeaktivitäten protokolliert und überwacht werden.

Verwendete Standardauthentifizierung

Wenn eine vollständige Enumeration mit Nicht-BroCi-Abläufen durchgeführt wird, initiiert das Tool in der Regel vier interaktive Anmeldungen und eine nicht-interaktive Anmeldung. Je nach Ablauf- und Endpunktunterstützung kann eine zusätzliche interaktive Anmeldung für Security Findings-Richtlinienendpunkte erfolgen.

Verwendete BroCi-Authentifizierung

Wenn die BroCi-Authentifizierung verwendet wird, erfolgt nur eine interaktive Anmeldung.

Wenn BroCi aktiviert ist, fragt EntraFalcon außerdem api.azrbac.mspim.azure.com für PIM für Gruppen ab.

Details

Für die Datenerfassung sendet das Tool mehrere Anfragen an die Microsoft Graph API und optional an die Azure ARM API – eine oder mehr pro Objekt. Wo möglich, nutzt es den Graph-Batch-Endpunkt, um die Anzahl einzelner Anfragen zu reduzieren und die Effizienz zu verbessern.

Interaktive Anmeldungen verwenden den User-Agent des Browsers. Alle nicht-interaktiven Anmeldungen und API-Anfragen (Graph und ARM) verwenden EntraFalcon als User-Agent, sofern nicht mit dem Parameter -UserAgent geändert.

Zur Erkennung der Nutzung von EntraFalcon können Blue Teams die aufgeführten Anwendungs-IDs in Anmeldeprotokollen überwachen, nach ungewöhnlichen Mengen an Graph-API-Datenverkehr suchen oder das Verhalten von Tokenaktualisierung und Batch-Anfragen analysieren.

🕳️ Bekannte Einschränkungen

• M365-RBAC: Nicht bewertet
• Defender for Endpoint-RBAC: Nicht bewertet
• Conditional Access-Benutzerabdeckung: Die effektive Benutzerabdeckung und -ExportCapUncoveredUsers sind Best-Effort-Berechnungen auf Grundlage enumerierter Benutzer, Gruppenmitglieder, Rollenzuweisungen und auflösbarer externer Benutzerkategorien. Externe Benutzerselektoren werden nur für Mandantengastbenutzer aufgelöst, die b2bCollaborationGuest entsprechen. Andere externe Benutzertypen oder externe Benutzer mit angegebenen externen Mandanten können die Abdeckungswerte ungenau machen. Berechtigte PIM-Pfade werden als potenzielle Abdeckung gemeldet und nicht als aktuell abgedeckt gezählt. Der CSV-Export ist auf aktivierte Richtlinien und aktivierte Benutzer beschränkt.
• Cloud-Umgebung: Cloud-Plattformen entwickeln sich schnell weiter. Daher können einige Bewertungen oder Erkennungen im Laufe der Zeit veraltet oder ungenau werden. Darüber hinaus werden Mandanten zunehmend komplexer, und spezifische Konfigurationen oder Kombinationen von Einstellungen können zu ungenauen Ergebnissen führen. Obwohl wir uns bemühen, EntraFalcon aktuell zu halten, wird immer empfohlen, Ergebnisse unabhängig zu validieren und sich für kritische Entscheidungen nicht ausschließlich auf das Tool zu verlassen.
• HTML-Berichte: Die generierten HTML-Berichte implementieren keine Schutzmechanismen gegen Cross-Site-Scripting (XSS).

📦 Integrierte externe Tools

Die folgenden Untermodule wurden geforkt und in EntraFalcon integriert, um Authentifizierung, Microsoft Graph-Interaktion und Berichtsdiagramme zu unterstützen:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js