• Enthält Prüfungen auf schwache Mandantenkonfigurationen und riskante Objekteigenschaften oder -berechtigungen
• Bietet Schweregrade sowie Beschreibungen des Problems, potenzielle Bedrohungen und Anleitungen zur Behebung
• Listet betroffene Objekte auf und verlinkt direkt auf deren detaillierte Berichte für weitere Untersuchungen

✅ Anforderungen

Darüber hinaus müssen Sie in der Lage sein, sich von dem Gerät, auf dem Sie das Tool ausführen, bei der Microsoft-Graph-API und optional bei der Azure-ARM-API zu authentifizieren. Stellen Sie sicher, dass Conditional-Access-Richtlinien Ihre Authentifizierung nicht blockieren.

▶️ Verwendung

EntraFalcon herunterladen

Klonen Sie zunächst das Repository und navigieren Sie in das Projektverzeichnis:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

EntraFalcon ausführen

EntraFalcon bietet integrierte Unterstützung für die Entra-ID-Authentifizierung. Verwenden Sie -AuthFlow, um den Authentifizierungsablauf auszuwählen.

Für normale Bewertungen verwenden Sie einen der Abläufe mit vollständiger Abdeckung:

BroCi verwendet eine interaktive Anmeldung. BroCiToken und ServicePrincipal verwenden keine. Fallback-Benutzerabläufe können mehrere interaktive Anmeldungen erfordern, da separate Ressourcentokens angefordert werden.

Empfohlen: BroCi-Ablauf (Standard / nur Windows)

BroCi verwendet alternative First-Party-Anwendungen und erfordert nur eine interaktive Anmeldung.
Er ist nützlich, wenn der Azure Active Directory PowerShell-Client eine Zuweisung erfordert und vermieden werden muss.```powershell .\run_EntraFalcon.ps1

Empfohlen: BroCi + manueller Code-Flow```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

Empfohlen: Dienstprinzipal

Authentifiziert sich als registrierte Anwendung über den OAuth2-Client-Credentials-Grant – keine Benutzerinteraktion erforderlich. Nützlich für wiederholte automatisierte Ausführungen.
Erfordert eine benutzerdefinierte Entra-App-Registrierung mit Graph-API-Berechtigungen vom Typ Application (siehe unten).

Mit Client-Geheimnis:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

Für ein passwortgeschütztes PFX fügen Sie -SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString) hinzu.

Mit PEM-Zertifikat + privatem Schlüssel (nur PowerShell 7+):```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Fallback: Device Code Flow

In gehärteten Umgebungen wird dies häufig durch Conditional Access eingeschränkt.
Mit DeviceCode laufen zwei Security-Findings-Prüfungen mit reduzierter Tiefe (CAP-004 und CAP-005).```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

1. Das Skript kopiert die Authentifizierungs-URL in die Zwischenablage.
2. Fügen Sie die URL in einen Browser ein (optional auf einem anderen Gerät für SSO-Unterstützung).
3. Schließen Sie die Authentifizierung ab.
4. Kopieren Sie die endgültige Weiterleitungs-URL aus der Browser-Adressleiste (die den Autorisierungscode enthält) in die Zwischenablage.
5. Drücken Sie die Eingabetaste, um fortzufahren; das Skript liest den Code aus der Zwischenablage und schließt den Token-Abruf ab.

Weitere Parameter

Microsoft-eigene Enterprise-Apps einbeziehen

Standardmäßig werden offizielle Microsoft-Enterprise-Anwendungen von der Bewertung ausgeschlossen, um Rauschen zu reduzieren. Um sie in die Aufzählung und Analyse einzubeziehen, verwenden Sie den Schalter -IncludeMsApps:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

Weitere optionale Parameter

📊 Einige Beispielberichte

Security Finding Report

Benutzer

Benutzer (Detailbereich)

Entra-ID-Rollen

Azure-Rollen

Unternehmensanwendung (Detailbereich)

Conditional-Access-Richtlinien

Conditional-Access-Richtlinien (Detailbereich)

PIM-Rolleneinstellungen (Entra)

Agent-Identitäten

Aufzählungsübersicht

📑 HTML-Bericht

Allgemein

• Klicken Sie auf die Schaltfläche ⚙️ Spalten, um bestimmte Spalten ein- oder auszublenden.
• Klicken Sie auf 💾 Export, um CSV/JSON der aktuell sichtbaren Daten herunterzuladen oder CSV/TSV/JSON zu kopieren.
• Klicken Sie auf 👁 Ansicht teilen, um Filter, Sortierung und Spaltenauswahl als teilbaren Link zu kopieren.
• Klicken Sie auf 🧰 Voreingestellte Ansichten, um vorkonfigurierte Filter und Spaltenauswahlen anzuwenden.
• Klicken Sie auf 🔄 Ansicht zurücksetzen, um die Ansicht auf den Standard zurückzusetzen.
• Klicken Sie auf Objektnamen, um zu detaillierten Informationen zu springen, auch in anderen Berichten.
• Wenn Sie die interne Navigation verwenden, drücken Sie die Zurück-Taste des Browsers, um zurückzukehren.
• Einige Tabellenkopfzeilen zeigen Hilfetext beim Überfahren mit der Maus an.
• Sortieren Sie Daten, indem Sie auf eine Tabellenkopfzeile klicken.
• Alt+Klick auf eine Haupttabellen-Spaltenkopfzeile blendet diese Spalte schnell aus.
• Alt+Klick auf eine Haupttabellen-Inhaltszeile blendet sie vorübergehend aus. Verwenden Sie den Chip für ausgeblendete Zeilen oder „Ansicht zurücksetzen“, um ausgeblendete Zeilen wieder anzuzeigen.

Filtern

• Wenn kein Operator angegeben ist, verwendet das Filtern standardmäßig enthält.
• Verwenden Sie = für eine exakte Übereinstimmung.
• Verwenden Sie ^ für beginnt mit (z. B. ^Mallory).
• Verwenden Sie $ für endet mit (z. B. $domain.ch).
• Vergleichsoperatoren wie >, <, >=, <= werden unterstützt (nur numerische Werte).
• Filter können durch Voranstellen von ! negiert werden (außer bei numerischen Vergleichen). Beispiele: !Mallory, !=Mallory, !^Mallory oder !$domain.ch.
• Verwenden Sie =empty, um leere Zellen abzugleichen, oder !=empty, um nicht leere Zellen abzugleichen.
• Verwenden Sie ||, um mehrere Werte in derselben Spalte abzugleichen (z. B. Admin || Guest).
• Verwenden Sie &&, um mehrere Übereinstimmungen in derselben Spalte zu verlangen (z. B. !adm && !svc && !sql).
• Um ODER-Logik über Spalten hinweg anzuwenden, verwenden Sie or_, group1_, group2_... direkt in einem Filterfeld. Beispiele: in Spalte 1: or_>1, in Spalte 2: or_!Mallory
• Hinweis: Die Spalte DisplayName enthält auch die ID des Objekts (unsichtbar), sodass auch nach ID gefiltert werden kann.

Steuerung über GET-Parameter

• Filtern: Wenden Sie Filter an, indem Sie Feldnamen als HTTP-GET-Parameter verwenden, z. B. ?EntraRoles=>1&Enabled=true.
  Um ODER-Logik über Spalten hinweg anzuwenden, verwenden Sie das Präfix or_ oder group1_ (z. B. ?or_EntraRoles=>0&or_GrpMem=>0).
• Spaltenauswahl: Wählen Sie aus, welche Spalten angezeigt werden sollen, mithilfe des Parameters columns. Beispiel: ?columns=DisplayName,Owner.
• Sortierung: Sortieren Sie die Daten mithilfe der Parameter sort und sortDir. Beispiel: ?sort=Impact&sortDir=desc oder ?sort=OwnerCount&sortDir=asc.
• Objektdetails: Springen Sie direkt zu einem bestimmten Objekt im Bericht mithilfe eines Ankers (#) und der Objekt-ID, z. B. #%ObjectID%.

Bewertung

• Impact: Stellt den Umfang oder die Schwere der Berechtigungen dar, die das Objekt besitzt.
• Likelihood: Stellt dar, wie leicht das Objekt beeinflusst werden kann oder wie gut es geschützt ist.
• Risk: Berechneter Wert: Impact × Likelihood = Risk.
• Wichtig:
  • Diese Bewertung ist als grundlegende Einschätzung gedacht, um Einträge in der Tabelle zu sortieren und zu priorisieren.
  • Risikowerte sind nicht direkt über verschiedene Objekttypen oder Berichte hinweg vergleichbar.
  • Sie ist nicht als Ersatz für eine vollständige Risikobewertung gedacht.

🔧Unter der Haube

Rollenkategorisierung

Entra-ID- und Azure-Rollen werden grob in verschiedene Tier-Ebenen kategorisiert. Diese Kategorisierung beeinflusst die Impact-Werte von Objekten, denen diese Rollen zugewiesen sind. Das Ziel ist es, Benutzern mit mächtigeren Rollen (z. B. Global Administrator) einen höheren Impact-Wert zuzuweisen als Benutzern mit weniger kritischen Rollen (z. B. Global Reader), auch wenn beide von Microsoft als privilegierte Rollen betrachtet werden.

Hinweis: Für Azure-Rollen ist diese Kategorisierung weniger präzise, da der tatsächliche Impact stark vom Umfang der Rollenzuweisung abhängt. Beispielsweise hat eine Owner-Rolle auf einer einzelnen virtuellen Maschine deutlich weniger Impact, als wenn dieselbe Rolle auf ein gesamtes Abonnement angewendet wird. Es könnte sich auch um ein Testabonnement ohne Ressourcen handeln.

API-Berechtigungskategorisierung

Bestimmte API-Berechtigungen ermöglichen es einer Anwendung, direkt auf Global-Administrator-Rechte zu eskalieren. Daher werden mehrere API-Berechtigungen in verschiedene Schweregrade kategorisiert. Diese Kategorisierung beeinflusst den Impact-Wert von Anwendungen, denen diese Berechtigungen zugewiesen sind – entweder als Anwendungsberechtigungen oder als delegierte Berechtigungen für Benutzer.

Microsoft-Erstanbieter-Unternehmensanwendungen

Standardmäßig werden Microsoft-Anwendungen herausgefiltert, um die Überprüfung der Unternehmensanwendungen zu vereinfachen. Verwenden Sie den Schalter -IncludeMsApps, um sie einzuschließen. Anwendungen aus den folgenden Mandanten werden als Microsoft-eigen behandelt:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Durchgeführte Prüfungen

Die folgende Tabelle fasst die durchgeführten Prüfungen grob zusammen, einschließlich ihrer Auswirkung auf die Bewertung und ob eine Warnung angezeigt wird.

🛡️ Erkennung

EntraFalcon ist nicht heimlich und kann in Umgebungen erkannt werden, in denen Microsoft Graph API- und Azure-Anmeldeaktivitäten protokolliert und überwacht werden.

Verwendete Standardauthentifizierung

Wenn eine vollständige Enumeration mit Nicht-BroCi-Abläufen durchgeführt wird, initiiert das Tool in der Regel vier interaktive Anmeldungen und eine nicht-interaktive Anmeldung. Je nach Ablauf- und Endpunktunterstützung kann eine zusätzliche interaktive Anmeldung für Security Findings-Richtlinienendpunkte erfolgen.

Verwendete BroCi-Authentifizierung

Wenn die BroCi-Authentifizierung verwendet wird, erfolgt nur eine interaktive Anmeldung.

Wenn BroCi aktiviert ist, fragt EntraFalcon außerdem api.azrbac.mspim.azure.com für PIM für Gruppen ab.

Details

Für die Datenerfassung sendet das Tool mehrere Anfragen an die Microsoft Graph API und optional an die Azure ARM API – eine oder mehr pro Objekt. Wo möglich, nutzt es den Graph-Batch-Endpunkt, um die Anzahl einzelner Anfragen zu reduzieren und die Effizienz zu verbessern.

Interaktive Anmeldungen verwenden den User-Agent des Browsers. Alle nicht-interaktiven Anmeldungen und API-Anfragen (Graph und ARM) verwenden EntraFalcon als User-Agent, sofern nicht mit dem Parameter -UserAgent geändert.

Zur Erkennung der Nutzung von EntraFalcon können Blue Teams die aufgeführten Anwendungs-IDs in Anmeldeprotokollen überwachen, nach ungewöhnlichen Mengen an Graph-API-Datenverkehr suchen oder das Verhalten von Tokenaktualisierung und Batch-Anfragen analysieren.

🕳️ Bekannte Einschränkungen

• M365-RBAC: Nicht bewertet
• Defender for Endpoint-RBAC: Nicht bewertet
• Conditional Access-Benutzerabdeckung: Die effektive Benutzerabdeckung und -ExportCapUncoveredUsers sind Best-Effort-Berechnungen auf Grundlage enumerierter Benutzer, Gruppenmitglieder, Rollenzuweisungen und auflösbarer externer Benutzerkategorien. Externe Benutzerselektoren werden nur für Mandantengastbenutzer aufgelöst, die b2bCollaborationGuest entsprechen. Andere externe Benutzertypen oder externe Benutzer mit angegebenen externen Mandanten können die Abdeckungswerte ungenau machen. Berechtigte PIM-Pfade werden als potenzielle Abdeckung gemeldet und nicht als aktuell abgedeckt gezählt. Der CSV-Export ist auf aktivierte Richtlinien und aktivierte Benutzer beschränkt.
• Cloud-Umgebung: Cloud-Plattformen entwickeln sich schnell weiter. Daher können einige Bewertungen oder Erkennungen im Laufe der Zeit veraltet oder ungenau werden. Darüber hinaus werden Mandanten zunehmend komplexer, und spezifische Konfigurationen oder Kombinationen von Einstellungen können zu ungenauen Ergebnissen führen. Obwohl wir uns bemühen, EntraFalcon aktuell zu halten, wird immer empfohlen, Ergebnisse unabhängig zu validieren und sich für kritische Entscheidungen nicht ausschließlich auf das Tool zu verlassen.
• HTML-Berichte: Die generierten HTML-Berichte implementieren keine Schutzmechanismen gegen Cross-Site-Scripting (XSS).

📦 Integrierte externe Tools

Die folgenden Untermodule wurden geforkt und in EntraFalcon integriert, um Authentifizierung, Microsoft Graph-Interaktion und Berichtsdiagramme zu unterstützen:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js