EntraFalcon

EntraFalcon es una herramienta de evaluación basada en PowerShell para pentesters, analistas de seguridad y administradores de sistemas, diseñada para evaluar la postura de seguridad de un entorno de Microsoft Entra ID.

Pensada para ser fácil de usar, EntraFalcon funciona con PowerShell 5.1 y 7, es compatible tanto con Windows como con Linux, y no requiere módulos adicionales de PowerShell, instalaciones extra ni consentimiento de Microsoft Graph API.

La herramienta ayuda a descubrir objetos privilegiados, asignaciones potencialmente riesgosas y configuraciones incorrectas de Conditional Access que a menudo se pasan por alto, como:

• Usuarios con control sobre grupos o aplicaciones de alto privilegio
• Aplicaciones empresariales externas o internas con permisos excesivos (por ejemplo, Microsoft Graph API, roles de Azure)
• Usuarios con asignaciones de roles de Azure IAM directamente sobre recursos
• Cuentas privilegiadas sincronizadas desde on-premises
• Usuarios inactivos o usuarios sin capacidad de MFA
• Grupos desprotegidos utilizados en asignaciones sensibles (por ejemplo, exclusiones de Conditional Access, Subscription Owner o miembros elegibles de un grupo privilegiado)

Los hallazgos se presentan en informes HTML interactivos para facilitar una exploración y análisis eficientes.

🚀 Características

• Script de PowerShell simple compatible con PowerShell 5.1 y 7. Funciona en Windows y Linux
• Autenticación integrada que admite múltiples métodos
• Utiliza aplicaciones de Microsoft de primera parte con ámbitos pre-consentidos para evitar las solicitudes de consentimiento de Graph API
• Genera informes HTML navegables que admiten filtrado, ordenación, exportación de datos, etc.
• Realiza más de 90 comprobaciones automatizadas y resume los resultados en un Informe de Hallazgos de Seguridad
  • Incluye comprobaciones de configuraciones débiles del tenant y propiedades o permisos de objetos riesgosos
  • Proporciona clasificaciones de severidad, así como descripciones del problema, amenazas potenciales y orientación de remediación
  • Enumera los objetos afectados y enlaza directamente a sus informes detallados para una investigación adicional
• Realiza una puntuación básica de impacto, probabilidad y riesgo para resaltar objetos de alto privilegio débilmente protegidos y ordenar los datos.
• Muestra advertencias para configuraciones riesgosas y privilegios elevados
• Enumera objetos de Entra ID, incluyendo:
  • Usuarios (incluidos Agent Users)
  • Grupos
  • Aplicaciones empresariales
  • Registros de aplicaciones
  • Identidades administradas
  • Identidades de agentes
  • Principales de blueprint de identidades de agentes
  • Blueprints de identidades de agentes
  • Asignaciones de PIM:
    • PIM para Entra Roles
    • PIM para Grupos
    • PIM para Azure Roles
  • Asignaciones de Entra Role
  • Asignaciones de Azure Role
  • Asignaciones de RBAC de Intune
  • Paquetes de acceso
  • Catálogos de Entitlement Management
  • RBAC de catálogo
  • Políticas de Conditional Access
  • Unidades administrativas
  • Configuraciones de PIM:
    • PIM para Entra Roles
    • PIM para Grupos (solo autenticación BroCi)

✅ Requisitos

Además, debes poder autenticarte en Microsoft Graph API y, opcionalmente, en la API de Azure ARM desde el dispositivo donde ejecutas la herramienta. Asegúrate de que las políticas de Conditional Access no bloqueen tu autenticación.

▶️ Uso

Descargar EntraFalcon

Para comenzar, clona el repositorio y navega al directorio del proyecto:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Nota: Es posible que necesites cambiar temporalmente la política de ejecución de PowerShell para ejecutar el script.
¡Hazlo solo con scripts de confianza!```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

Ejecutar EntraFalcon

EntraFalcon incluye soporte integrado para la autenticación de Entra ID. Use -AuthFlow para seleccionar el flujo de autenticación.

Para evaluaciones normales, use uno de los flujos de cobertura completa:

BroCi usa un único inicio de sesión interactivo. BroCiToken y ServicePrincipal no usan ninguno. Los flujos de usuario alternativos pueden requerir varios inicios de sesión interactivos porque se solicitan tokens de recursos separados.

Recomendado: Flujo BroCi (predeterminado / solo Windows)

BroCi usa aplicaciones de primera parte alternativas y requiere solo un inicio de sesión interactivo.
Es útil cuando el cliente Azure Active Directory PowerShell requiere asignación y debe evitarse.```powershell .\run_EntraFalcon.ps1

Selección explícita de BroCi:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

Recomendado: BroCi + Flujo de Código Manual```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. El script copia la URL de autenticación al portapapeles.
2. Pega la URL en un navegador (opcionalmente en otro dispositivo para soporte SSO).
3. Abre las herramientas de desarrollador del navegador y, en la pestaña Red, habilita `Preserve log`.
4. Completa la autenticación.
5. Busca en el registro de red `code=1.` y copia la URL de la solicitud que contiene el código al portapapeles.
6. Presiona Enter para continuar; el script lee el código del portapapeles y completa la obtención del token.


#### Recomendado: BroCi con Token
Si ya se dispone de un token de actualización válido de Azure Portal (cliente c44b4083-3bb0-49c1-b47d-974e53cbdf3c), se puede usar directamente.
Ejemplo: Obtención del token de actualización desde el navegador
1. Abre las herramientas de desarrollador del navegador y, en la pestaña Red, habilita Preserve log.
2. Autentícate en https://entra.microsoft.com.
3. Busca en el registro de red `brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c` y extrae el token de actualización de la respuesta.```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

Recomendado: Service Principal

Autentica como una aplicación registrada mediante la concesión de credenciales de cliente OAuth2 — no se requiere interacción del usuario. Útil para ejecuciones automatizadas repetidas.
Requiere un registro de aplicación personalizado en Entra con permisos de Graph API de tipo Application (ver más abajo).

Con secreto de cliente:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

**Con certificado PFX:**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePath "C:\certs\app.pfx"

Para un PFX protegido con contraseña, añade -SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString).

Con certificado PEM + clave privada (solo PowerShell 7+):```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Para una clave privada cifrada, añade `-SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString)`.

##### Permisos requeridos del registro de la aplicación
Concede los siguientes permisos de **Aplicación** (no Delegados) en el registro de la aplicación y admin-consiente:

| Permiso | Tipo |
|---|---|
| `AdministrativeUnit.Read.All` | Application |
| `AgentIdentity.Read.All` | Application |
| `AgentIdentityBlueprint.Read.All` | Application |
| `AgentIdentityBlueprintPrincipal.Read.All` | Application |
| `Application.Read.All` | Application |
| `AuditLog.Read.All` | Application |
| `Device.Read.All` | Application |
| `EntitlementManagement.Read.All` | Application |
| `Group.Read.All` | Application |
| `Organization.Read.All` | Application |
| `Policy.Read.All` | Application |
| `PrivilegedAccess.Read.AzureADGroup` | Application |
| `RoleManagement.Read.Directory` | Application |
| `RoleManagementPolicy.Read.AzureADGroup` | Application |
| `User.Read.All` | Application |
| `DeviceManagementRBAC.Read.All` | Application |

Además, asigna el rol **Azure Reader** en el grupo de administración raíz (o en cada suscripción relevante) y, opcionalmente, el rol **Global Reader** a la entidad de servicio en Entra ID (requerido para el estado MFA por usuario).

#### Alternativa: Flujo de código de autorización (solo Windows)```powershell
.\run_EntraFalcon.ps1 -AuthFlow AuthCode

Fallback: Flujo de Código de Dispositivo

A menudo está restringido por el Acceso Condicional en entornos endurecidos.
Con DeviceCode, dos comprobaciones de Hallazgos de Seguridad se ejecutan con profundidad reducida (CAP-004 y CAP-005).```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

#### Fallback: flujo de código de autenticación + código manual```powershell
.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. El script copia la URL de autenticación al portapapeles.
2. Pega la URL en un navegador (opcionalmente en otro dispositivo para soporte SSO).
3. Completa la autenticación.
4. Copia la URL de redirección final desde la barra de direcciones del navegador (que contiene el código de autorización) al portapapeles.
5. Presiona Enter para continuar; el script lee el código desde el portapapeles y completa la obtención del token.

Otros Parámetros

Incluir Aplicaciones Empresariales de Microsoft

De forma predeterminada, las aplicaciones empresariales oficiales de Microsoft se excluyen de la evaluación para reducir el ruido. Para incluirlas en la enumeración y el análisis, usa el modificador -IncludeMsApps:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### Omitir evaluación de PIM para Grupos
Use el modificador `-SkipPimForGroups` para omitir la recopilación previa y el enriquecimiento de PIM para Grupos.  
Esto también omite el informe independiente de configuración de `PIM para Grupos`.```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

Otros Parámetros Opcionales

📊 Algunos Ejemplos de Informes

Informe de Hallazgos de Seguridad

Usuarios

Usuarios (Sección de Detalles)

Roles de Entra ID

Roles de Azure

Aplicación Empresarial (Sección de Detalles)

Políticas de Acceso Condicional

Políticas de Acceso Condicional (Sección de Detalles)

Configuración de Roles de PIM (Entra)

Identidades de Agente

Resumen de Enumeración

📑 Informe HTML

General

• Haga clic en el botón ⚙️ Columnas para mostrar u ocultar columnas específicas.
• Haga clic en 💾 Exportar para descargar CSV/JSON o copiar CSV/TSV/JSON de los datos actualmente visibles.
• Haga clic en 👁 Compartir Vista para copiar filtros, ordenación y selección de columnas como un enlace compartible.
• Haga clic en 🧰 Vistas Predefinidas para aplicar filtros y selecciones de columnas preconfigurados.
• Haga clic en 🔄 Restablecer Vista para restablecer la vista a la predeterminada.
• Haga clic en los nombres de los objetos para saltar a la información detallada, incluso en otros informes.
• Al usar la navegación interna, presione el botón de retroceso del navegador para volver.
• Algunos encabezados de campos de tabla muestran texto de ayuda al pasar el mouse.
• Ordene los datos haciendo clic en un encabezado de tabla.
• Alt+clic en un encabezado de columna principal de la tabla para ocultar rápidamente esa columna.
• Alt+clic en una fila de contenido de la tabla principal para ocultarla temporalmente. Use el chip de filas ocultas o Restablecer Vista para mostrar las filas ocultas nuevamente.

Filtrado

• Si no se especifica un operador, el filtrado se establece por defecto en contiene.
• Use = para una coincidencia exacta.
• Use ^ para comienza con (p. ej., ^Mallory).
• Use $ para termina con (p. ej., $domain.ch).
• Se admiten operadores de comparación como >, <, >=, <= (solo valores numéricos).
• Los filtros se pueden negar comenzando con ! (excepto para comparaciones numéricas). Ejemplos: !Mallory, !=Mallory, !^Mallory o !$domain.ch.
• Use =empty para coincidir con celdas vacías, o !=empty para coincidir con celdas no vacías.
• Use || para coincidir con cualquiera de varios valores en la misma columna (p. ej., Admin || Guest).
• Use && para requerir múltiples coincidencias en la misma columna (p. ej., !adm && !svc && !sql).
• Para aplicar lógica OR entre columnas, use or_, group1_, group2_... directamente en un campo de filtro. Ejemplos: en la columna 1: or_>1, en la columna 2: or_!Mallory
• Nota: La columna DisplayName también incluye el ID del objeto (invisible), por lo que también es posible filtrar por ID.

Controles mediante Parámetros GET

• Filtrado: Aplique filtros usando los nombres de los campos como parámetros HTTP GET, p. ej., ?EntraRoles=>1&Enabled=true.
  Para aplicar lógica OR entre columnas, use el prefijo or_ o group1_ (p. ej., ?or_EntraRoles=>0&or_GrpMem=>0).
• Selección de Columnas: Elija qué columnas mostrar usando el parámetro columns. Ejemplo: ?columns=DisplayName,Owner.
• Ordenación: Ordene los datos usando los parámetros sort y sortDir. Ejemplo: ?sort=Impact&sortDir=desc o ?sort=OwnerCount&sortDir=asc.
• Detalles del Objeto: Salte directamente a un objeto específico en el informe usando un ancla (#) y el ID del objeto, p. ej., #%ObjectID%.

Clasificación

• Impacto: Representa la cantidad o severidad de los permisos que tiene el objeto.
• Probabilidad: Representa qué tan fácilmente puede ser influenciado el objeto o qué tan bien está protegido.
• Riesgo: Puntaje calculado: Impacto × Probabilidad = Riesgo.
• Importante:
  • Esta puntuación está pensada como una evaluación básica para ayudar a ordenar y priorizar las entradas en la tabla.
  • Los puntajes de riesgo no son directamente comparables entre diferentes tipos de objetos o informes.
  • No está destinada a reemplazar una evaluación de riesgo completa.

🔧Bajo el Capó

Categorización de Roles

Los roles de Entra ID y Azure se categorizan aproximadamente en diferentes niveles de nivel. Esta categorización influye en los puntajes de impacto de los objetos asignados a esos roles. El objetivo es asignar un puntaje de impacto más alto a los usuarios con roles más potentes (p. ej., Administrador Global) en comparación con los usuarios con roles menos críticos (p. ej., Lector Global), incluso si ambos son considerados roles privilegiados por Microsoft.

Nota: Para los roles de Azure, esta categorización es menos precisa, ya que el impacto real depende en gran medida del alcance de la asignación del rol. Por ejemplo, un rol de Propietario en una sola máquina virtual tiene significativamente menos impacto que cuando el mismo rol se aplica a una suscripción completa. También podría ser una suscripción de prueba sin recursos en absoluto.

Categorización de Permisos de API

Ciertos permisos de API permiten que una aplicación escale directamente a privilegios de Administrador Global. Por lo tanto, varios permisos de API se categorizan en diferentes niveles de severidad. Esta categorización influye en el puntaje de impacto de las aplicaciones que tienen estos permisos asignados — ya sea como permisos de aplicación o permisos delegados para usuarios.

Aplicaciones empresariales de Microsoft de primera parte

De forma predeterminada, las aplicaciones de Microsoft se filtran para simplificar la revisión de las aplicaciones empresariales. Use el modificador -IncludeMsApps para incluirlas. Las aplicaciones de los siguientes inquilinos se tratan como propiedad de Microsoft:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Comprobaciones realizadas

La siguiente tabla resume de forma aproximada las comprobaciones realizadas, junto con su impacto en la puntuación y si se muestra una advertencia.

🛡️ Detección

EntraFalcon no es sigiloso y puede ser detectado en entornos donde se registran y supervisan la actividad de Microsoft Graph API y los inicios de sesión de Azure.

Autenticación predeterminada utilizada

Cuando se realiza una enumeración completa con flujos no BroCi, la herramienta normalmente inicia cuatro inicios de sesión interactivos y uno no interactivo. Dependiendo del flujo y la compatibilidad del punto de conexión, puede ocurrir un inicio de sesión interactivo adicional para los puntos de conexión de políticas de Security Findings.

Autenticación BroCi utilizada

Cuando se utiliza la autenticación BroCi, solo ocurre un inicio de sesión interactivo.

Cuando BroCi está habilitado, EntraFalcon también consulta api.azrbac.mspim.azure.com para PIM para Grupos.

Detalles

Para la recopilación de datos, la herramienta envía múltiples solicitudes a Microsoft Graph API y, opcionalmente, a Azure ARM API—una o más por objeto. Cuando es posible, aprovecha el punto de conexión Graph Batch para reducir el número de solicitudes individuales y mejorar la eficiencia.

Los inicios de sesión interactivos utilizan el User-Agent del navegador. Todos los inicios de sesión no interactivos y las solicitudes de API (Graph y ARM) utilizan EntraFalcon como User-Agent, a menos que se cambie con el parámetro -UserAgent.

Para detectar el uso de EntraFalcon, los equipos azules pueden monitorear los ID de aplicación enumerados en los registros de inicio de sesión, buscar volúmenes inusuales de tráfico de Graph API, o analizar el comportamiento de actualización de tokens y solicitudes por lotes.

🕳️ Limitaciones conocidas

• RBAC de M365: No evaluado
• RBAC de Defender for Endpoint: No evaluado
• Cobertura de usuarios de Conditional Access: La cobertura efectiva de usuarios y -ExportCapUncoveredUsers son cálculos de mejor esfuerzo basados en usuarios enumerados, miembros de grupos, asignaciones de roles y categorías de usuarios externos resolubles. Los selectores de usuarios externos solo se resuelven para usuarios invitados del inquilino que coinciden con b2bCollaborationGuest. Otros tipos de usuarios externos o usuarios externos con inquilinos externos especificados pueden hacer que los valores de cobertura sean aproximados. Las rutas elegibles de PIM se informan como cobertura potencial y no se cuentan como cubiertas actualmente. La exportación CSV se limita a políticas habilitadas y usuarios habilitados.
• Entorno en la nube: Las plataformas en la nube evolucionan rápidamente. Como resultado, algunas evaluaciones o detecciones pueden volverse obsoletas o inexactas con el tiempo. Además, los inquilinos son cada vez más complejos, y configuraciones específicas o combinaciones de ajustes pueden llevar a resultados inexactos. Si bien nos esforzamos por mantener EntraFalcon actualizado, siempre se recomienda validar los hallazgos de forma independiente y no confiar únicamente en la herramienta para decisiones críticas.
• Informes HTML: Los informes HTML generados no implementan mecanismos de protección contra cross-site scripting (XSS).

📦 Herramientas externas integradas

Los siguientes submódulos han sido bifurcados e integrados en EntraFalcon para soportar la autenticación, la interacción con Microsoft Graph y los gráficos de informes:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js