• Incluye comprobaciones de configuraciones débiles del tenant y propiedades o permisos de objetos riesgosos
• Proporciona clasificaciones de severidad, así como descripciones del problema, amenazas potenciales y orientación de remediación
• Enumera los objetos afectados y enlaza directamente a sus informes detallados para una investigación adicional

✅ Requisitos

Además, debes poder autenticarte en Microsoft Graph API y, opcionalmente, en la API de Azure ARM desde el dispositivo donde ejecutas la herramienta. Asegúrate de que las políticas de Conditional Access no bloqueen tu autenticación.

▶️ Uso

Descargar EntraFalcon

Para comenzar, clona el repositorio y navega al directorio del proyecto:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Ejecutar EntraFalcon

EntraFalcon incluye soporte integrado para la autenticación de Entra ID. Use -AuthFlow para seleccionar el flujo de autenticación.

Para evaluaciones normales, use uno de los flujos de cobertura completa:

BroCi usa un único inicio de sesión interactivo. BroCiToken y ServicePrincipal no usan ninguno. Los flujos de usuario alternativos pueden requerir varios inicios de sesión interactivos porque se solicitan tokens de recursos separados.

Recomendado: Flujo BroCi (predeterminado / solo Windows)

BroCi usa aplicaciones de primera parte alternativas y requiere solo un inicio de sesión interactivo.
Es útil cuando el cliente Azure Active Directory PowerShell requiere asignación y debe evitarse.```powershell .\run_EntraFalcon.ps1

Recomendado: BroCi + Flujo de Código Manual```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

Recomendado: Service Principal

Autentica como una aplicación registrada mediante la concesión de credenciales de cliente OAuth2 — no se requiere interacción del usuario. Útil para ejecuciones automatizadas repetidas.
Requiere un registro de aplicación personalizado en Entra con permisos de Graph API de tipo Application (ver más abajo).

Con secreto de cliente:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

Para un PFX protegido con contraseña, añade -SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString).

Con certificado PEM + clave privada (solo PowerShell 7+):```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Fallback: Flujo de Código de Dispositivo

A menudo está restringido por el Acceso Condicional en entornos endurecidos.
Con DeviceCode, dos comprobaciones de Hallazgos de Seguridad se ejecutan con profundidad reducida (CAP-004 y CAP-005).```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

1. El script copia la URL de autenticación al portapapeles.
2. Pega la URL en un navegador (opcionalmente en otro dispositivo para soporte SSO).
3. Completa la autenticación.
4. Copia la URL de redirección final desde la barra de direcciones del navegador (que contiene el código de autorización) al portapapeles.
5. Presiona Enter para continuar; el script lee el código desde el portapapeles y completa la obtención del token.

Otros Parámetros

Incluir Aplicaciones Empresariales de Microsoft

De forma predeterminada, las aplicaciones empresariales oficiales de Microsoft se excluyen de la evaluación para reducir el ruido. Para incluirlas en la enumeración y el análisis, usa el modificador -IncludeMsApps:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

Otros Parámetros Opcionales

📊 Algunos Ejemplos de Informes

Informe de Hallazgos de Seguridad

Usuarios

Usuarios (Sección de Detalles)

Roles de Entra ID

Roles de Azure

Aplicación Empresarial (Sección de Detalles)

Políticas de Acceso Condicional

Políticas de Acceso Condicional (Sección de Detalles)

Configuración de Roles de PIM (Entra)

Identidades de Agente

Resumen de Enumeración

📑 Informe HTML

General

• Haga clic en el botón ⚙️ Columnas para mostrar u ocultar columnas específicas.
• Haga clic en 💾 Exportar para descargar CSV/JSON o copiar CSV/TSV/JSON de los datos actualmente visibles.
• Haga clic en 👁 Compartir Vista para copiar filtros, ordenación y selección de columnas como un enlace compartible.
• Haga clic en 🧰 Vistas Predefinidas para aplicar filtros y selecciones de columnas preconfigurados.
• Haga clic en 🔄 Restablecer Vista para restablecer la vista a la predeterminada.
• Haga clic en los nombres de los objetos para saltar a la información detallada, incluso en otros informes.
• Al usar la navegación interna, presione el botón de retroceso del navegador para volver.
• Algunos encabezados de campos de tabla muestran texto de ayuda al pasar el mouse.
• Ordene los datos haciendo clic en un encabezado de tabla.
• Alt+clic en un encabezado de columna principal de la tabla para ocultar rápidamente esa columna.
• Alt+clic en una fila de contenido de la tabla principal para ocultarla temporalmente. Use el chip de filas ocultas o Restablecer Vista para mostrar las filas ocultas nuevamente.

Filtrado

• Si no se especifica un operador, el filtrado se establece por defecto en contiene.
• Use = para una coincidencia exacta.
• Use ^ para comienza con (p. ej., ^Mallory).
• Use $ para termina con (p. ej., $domain.ch).
• Se admiten operadores de comparación como >, <, >=, <= (solo valores numéricos).
• Los filtros se pueden negar comenzando con ! (excepto para comparaciones numéricas). Ejemplos: !Mallory, !=Mallory, !^Mallory o !$domain.ch.
• Use =empty para coincidir con celdas vacías, o !=empty para coincidir con celdas no vacías.
• Use || para coincidir con cualquiera de varios valores en la misma columna (p. ej., Admin || Guest).
• Use && para requerir múltiples coincidencias en la misma columna (p. ej., !adm && !svc && !sql).
• Para aplicar lógica OR entre columnas, use or_, group1_, group2_... directamente en un campo de filtro. Ejemplos: en la columna 1: or_>1, en la columna 2: or_!Mallory
• Nota: La columna DisplayName también incluye el ID del objeto (invisible), por lo que también es posible filtrar por ID.

Controles mediante Parámetros GET

• Filtrado: Aplique filtros usando los nombres de los campos como parámetros HTTP GET, p. ej., ?EntraRoles=>1&Enabled=true.
  Para aplicar lógica OR entre columnas, use el prefijo or_ o group1_ (p. ej., ?or_EntraRoles=>0&or_GrpMem=>0).
• Selección de Columnas: Elija qué columnas mostrar usando el parámetro columns. Ejemplo: ?columns=DisplayName,Owner.
• Ordenación: Ordene los datos usando los parámetros sort y sortDir. Ejemplo: ?sort=Impact&sortDir=desc o ?sort=OwnerCount&sortDir=asc.
• Detalles del Objeto: Salte directamente a un objeto específico en el informe usando un ancla (#) y el ID del objeto, p. ej., #%ObjectID%.

Clasificación

• Impacto: Representa la cantidad o severidad de los permisos que tiene el objeto.
• Probabilidad: Representa qué tan fácilmente puede ser influenciado el objeto o qué tan bien está protegido.
• Riesgo: Puntaje calculado: Impacto × Probabilidad = Riesgo.
• Importante:
  • Esta puntuación está pensada como una evaluación básica para ayudar a ordenar y priorizar las entradas en la tabla.
  • Los puntajes de riesgo no son directamente comparables entre diferentes tipos de objetos o informes.
  • No está destinada a reemplazar una evaluación de riesgo completa.

🔧Bajo el Capó

Categorización de Roles

Los roles de Entra ID y Azure se categorizan aproximadamente en diferentes niveles de nivel. Esta categorización influye en los puntajes de impacto de los objetos asignados a esos roles. El objetivo es asignar un puntaje de impacto más alto a los usuarios con roles más potentes (p. ej., Administrador Global) en comparación con los usuarios con roles menos críticos (p. ej., Lector Global), incluso si ambos son considerados roles privilegiados por Microsoft.

Nota: Para los roles de Azure, esta categorización es menos precisa, ya que el impacto real depende en gran medida del alcance de la asignación del rol. Por ejemplo, un rol de Propietario en una sola máquina virtual tiene significativamente menos impacto que cuando el mismo rol se aplica a una suscripción completa. También podría ser una suscripción de prueba sin recursos en absoluto.

Categorización de Permisos de API

Ciertos permisos de API permiten que una aplicación escale directamente a privilegios de Administrador Global. Por lo tanto, varios permisos de API se categorizan en diferentes niveles de severidad. Esta categorización influye en el puntaje de impacto de las aplicaciones que tienen estos permisos asignados — ya sea como permisos de aplicación o permisos delegados para usuarios.

Aplicaciones empresariales de Microsoft de primera parte

De forma predeterminada, las aplicaciones de Microsoft se filtran para simplificar la revisión de las aplicaciones empresariales. Use el modificador -IncludeMsApps para incluirlas. Las aplicaciones de los siguientes inquilinos se tratan como propiedad de Microsoft:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Comprobaciones realizadas

La siguiente tabla resume de forma aproximada las comprobaciones realizadas, junto con su impacto en la puntuación y si se muestra una advertencia.

🛡️ Detección

EntraFalcon no es sigiloso y puede ser detectado en entornos donde se registran y supervisan la actividad de Microsoft Graph API y los inicios de sesión de Azure.

Autenticación predeterminada utilizada

Cuando se realiza una enumeración completa con flujos no BroCi, la herramienta normalmente inicia cuatro inicios de sesión interactivos y uno no interactivo. Dependiendo del flujo y la compatibilidad del punto de conexión, puede ocurrir un inicio de sesión interactivo adicional para los puntos de conexión de políticas de Security Findings.

Autenticación BroCi utilizada

Cuando se utiliza la autenticación BroCi, solo ocurre un inicio de sesión interactivo.

Cuando BroCi está habilitado, EntraFalcon también consulta api.azrbac.mspim.azure.com para PIM para Grupos.

Detalles

Para la recopilación de datos, la herramienta envía múltiples solicitudes a Microsoft Graph API y, opcionalmente, a Azure ARM API—una o más por objeto. Cuando es posible, aprovecha el punto de conexión Graph Batch para reducir el número de solicitudes individuales y mejorar la eficiencia.

Los inicios de sesión interactivos utilizan el User-Agent del navegador. Todos los inicios de sesión no interactivos y las solicitudes de API (Graph y ARM) utilizan EntraFalcon como User-Agent, a menos que se cambie con el parámetro -UserAgent.

Para detectar el uso de EntraFalcon, los equipos azules pueden monitorear los ID de aplicación enumerados en los registros de inicio de sesión, buscar volúmenes inusuales de tráfico de Graph API, o analizar el comportamiento de actualización de tokens y solicitudes por lotes.

🕳️ Limitaciones conocidas

• RBAC de M365: No evaluado
• RBAC de Defender for Endpoint: No evaluado
• Cobertura de usuarios de Conditional Access: La cobertura efectiva de usuarios y -ExportCapUncoveredUsers son cálculos de mejor esfuerzo basados en usuarios enumerados, miembros de grupos, asignaciones de roles y categorías de usuarios externos resolubles. Los selectores de usuarios externos solo se resuelven para usuarios invitados del inquilino que coinciden con b2bCollaborationGuest. Otros tipos de usuarios externos o usuarios externos con inquilinos externos especificados pueden hacer que los valores de cobertura sean aproximados. Las rutas elegibles de PIM se informan como cobertura potencial y no se cuentan como cubiertas actualmente. La exportación CSV se limita a políticas habilitadas y usuarios habilitados.
• Entorno en la nube: Las plataformas en la nube evolucionan rápidamente. Como resultado, algunas evaluaciones o detecciones pueden volverse obsoletas o inexactas con el tiempo. Además, los inquilinos son cada vez más complejos, y configuraciones específicas o combinaciones de ajustes pueden llevar a resultados inexactos. Si bien nos esforzamos por mantener EntraFalcon actualizado, siempre se recomienda validar los hallazgos de forma independiente y no confiar únicamente en la herramienta para decisiones críticas.
• Informes HTML: Los informes HTML generados no implementan mecanismos de protección contra cross-site scripting (XSS).

📦 Herramientas externas integradas

Los siguientes submódulos han sido bifurcados e integrados en EntraFalcon para soportar la autenticación, la interacción con Microsoft Graph y los gráficos de informes:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js