EntraFalcon

EntraFalcon es una herramienta de evaluación basada en PowerShell para pentesters, analistas de seguridad y administradores de sistemas, diseñada para evaluar la postura de seguridad de un entorno de Microsoft Entra ID.

Pensada para ser fácil de usar, EntraFalcon se ejecuta en PowerShell 5.1 y 7, es compatible con Windows y Linux, y no requiere módulos adicionales de PowerShell, instalaciones extra ni consentimiento de Microsoft Graph API.

La herramienta ayuda a descubrir objetos privilegiados, asignaciones potencialmente riesgosas y configuraciones incorrectas de Acceso Condicional que a menudo se pasan por alto, como:

• Usuarios con control sobre grupos o aplicaciones de alto privilegio
• Aplicaciones empresariales externas o internas con permisos excesivos (por ejemplo, Microsoft Graph API, roles de Azure)
• Usuarios con asignaciones directas de roles de Azure IAM en recursos
• Cuentas privilegiadas sincronizadas desde el entorno local
• Usuarios inactivos o usuarios sin capacidad de MFA
• Grupos no protegidos utilizados en asignaciones sensibles (por ejemplo, exclusiones de Acceso Condicional, Propietario de suscripción o miembro elegible de un grupo privilegiado)

Los hallazgos se presentan en informes HTML interactivos para facilitar una exploración y análisis eficientes.

🚀 Características

• Script de PowerShell simple compatible con PowerShell 5.1 y 7. Funciona en Windows y Linux
• Autenticación integrada que admite múltiples métodos
• Utiliza aplicaciones de Microsoft de primera parte con ámbitos previamente consentidos para evitar solicitudes de consentimiento de Graph API
• Genera informes HTML navegables que admiten filtrado, ordenación, exportación de datos, etc.
• Realiza más de 80 comprobaciones automatizadas y resume los resultados en un Informe de Hallazgos de Seguridad
  • Incluye comprobaciones para configuraciones débiles del inquilino y propiedades o permisos de objetos riesgosos
  • Proporciona clasificaciones de gravedad, así como descripciones del problema, amenazas potenciales y orientación para la remediación
  • Enumera los objetos afectados y enlaza directamente a sus informes detallados para una mayor investigación
• Realiza una puntuación básica de impacto, probabilidad y riesgo para resaltar objetos de alto privilegio débilmente protegidos y ordenar los datos.
• Muestra advertencias para configuraciones riesgosas y privilegios elevados
• Enumera objetos de Entra ID, incluyendo:
  • Usuarios (incluyendo Usuarios Agente)
  • Grupos
  • Aplicaciones empresariales
  • Registros de aplicaciones
  • Identidades administradas
  • Identidades de agente (BETA)
  • Directores de plano de identidad de agente (BETA)
  • Planos de identidad de agente (BETA)
  • Asignaciones de PIM:
    • PIM para Roles de Entra
    • PIM para Grupos de Entra
    • PIM para Roles de Azure
  • Asignaciones de Roles de Entra
  • Asignaciones de Roles de Azure
  • Políticas de Acceso Condicional
  • Unidades administrativas
  • Configuraciones de PIM:
    • PIM para Roles de Entra
    • PIM para Grupos (solo autenticación BroCi)

✅ Requisitos

Además, debe poder autenticarse en Microsoft Graph API y, opcionalmente, en Azure ARM API desde el dispositivo donde ejecute la herramienta. Asegúrese de que las Políticas de Acceso Condicional no bloqueen su autenticación.

▶️ Uso

Descargar EntraFalcon

Para empezar, clone el repositorio y navegue al directorio del proyecto:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Nota: Es posible que necesites cambiar temporalmente la política de ejecución de PowerShell para ejecutar el script. ¡Solo haz esto para scripts de confianza!```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

Ejecutar EntraFalcon

EntraFalcon incluye soporte integrado para la autenticación de Entra ID.
Múltiples flujos de autenticación están disponibles para admitir diferentes entornos y restricciones.
Dependiendo del flujo seleccionado, esto requiere múltiples autenticaciones interactivas.

Use -AuthFlow para seleccionar el flujo de autenticación.

Usar flujo BroCi (predeterminado / solo Windows)

BroCi utiliza aplicaciones alternativas de primera parte y requiere solo un inicio de sesión interactivo.
Es útil además cuando el cliente Azure Active Directory PowerShell requiere asignación y debe evitarse.```powershell .\run_EntraFalcon.ps1

Selección explícita de BroCi:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

Flujo de código de autorización (solo Windows)```powershell

.\run_EntraFalcon.ps1 -AuthFlow AuthCode

#### Flujo de código de dispositivo
A menudo está restringido por Acceso Condicional en entornos endurecidos.  
Con `DeviceCode`, dos comprobaciones de Security Findings se ejecutan con profundidad reducida (`CAP-004` y `CAP-005`).```powershell
.\run_EntraFalcon.ps1 -AuthFlow DeviceCode

Usar Código de Autenticación + Flujo de Código Manual```powershell

.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. El script copia la URL de autenticación al portapapeles.
2. Pegue la URL en un navegador (opcionalmente en otro dispositivo para soporte SSO).
3. Complete la autenticación.
4. Copie la URL de redirección final de la barra de direcciones del navegador (que contiene el código de autorización) al portapapeles.
5. Presione Enter para continuar; el script lee el código desde el portapapeles y completa la adquisición del token.

#### BroCi + Manual Code Flow```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. El script copia la URL de autenticación al portapapeles.
2. Pegue la URL en un navegador (opcionalmente en otro dispositivo para compatibilidad con SSO).
3. Abra las herramientas de desarrollador del navegador y, en la pestaña Red, habilite Preserve log.
4. Complete la autenticación.
5. Busque en el registro de red code=1. y copie la URL de solicitud que contiene el código al portapapeles.
6. Pulse Enter para continuar; el script lee el código del portapapeles y completa la adquisición del token.

BroCi con Token

Si ya se dispone de un token de actualización válido de Azure Portal (cliente c44b4083-3bb0-49c1-b47d-974e53cbdf3c), se puede utilizar directamente. Ejemplo: Obtención del token de actualización desde el navegador

1. Abra las herramientas de desarrollador del navegador y, en la pestaña Red, habilite Preserve log.
2. Autentíquese en https://entra.microsoft.com.
3. Busque en el registro de red brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c y extraiga el token de actualización de la respuesta.```powershell .\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

#### Entidad de servicio
Autentica como una aplicación registrada usando la concesión de credenciales de cliente OAuth2 — no se requiere interacción del usuario.
Útil para ejecuciones automatizadas.  
Requiere un registro de aplicación personalizado en Entra con permisos de API Graph de tipo `Application` (ver más abajo).

**Con secreto de cliente:**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPClientSecret "<Secret>"

Con certificado PFX:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePath "C:\certs\app.pfx"

Para un PFX protegido por contraseña, agregue `-SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString)`.

**Con certificado PEM + clave privada (PowerShell 7+ solo):**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Para una clave privada cifrada, agregue -SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString).

Permisos requeridos de registro de aplicación

Conceda los siguientes permisos de Aplicación (no Delegados) en el registro de aplicación y admin-consiéntalos:

Además, asigne el rol Lector de Azure en el grupo de administración raíz (o en cada suscripción relevante) y opcionalmente el rol Lector global a la entidad de servicio en Entra ID (requerido para el estado MFA por usuario).

Otros parámetros

Incluir aplicaciones empresariales propiedad de Microsoft

Por defecto, las aplicaciones empresariales oficiales de Microsoft se excluyen de la evaluación para reducir el ruido. Para incluirlas en la enumeración y el análisis, use el modificador -IncludeMsApps:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### Omitir la evaluación de PIM para Grupos
Use el modificador `-SkipPimForGroups` para omitir la precosecha y el enriquecimiento de PIM para Grupos.  
Esto también omite el informe de configuración independiente `PIM (Groups)`.```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

Otros Parámetros Opcionales

📊 Algunos Reportes de Ejemplo

Reporte de Hallazgos de Seguridad

Usuarios

Usuarios (Sección de Detalles)

Roles de Entra ID

Roles de Azure

Aplicación Empresarial (Sección de Detalles)

Políticas de Acceso Condicional

Políticas de Acceso Condicional (Sección de Detalles)

Configuraciones de Roles de PIM (Entra)

Identidades de Agente

Resumen de Enumeración

📑 Reporte HTML

General

• Haga clic en el botón ⚙️ Columnas para mostrar u ocultar columnas específicas.
• Haga clic en 💾 Exportar CSV para descargar los datos actualmente visibles como un archivo CSV.
• Haga clic en 👁 Compartir Vista para copiar filtros, ordenamiento y selección de columnas como un enlace compartible.
• Haga clic en 🧰 Vistas Predefinidas para aplicar filtros y selecciones de columnas preconfigurados.
• Haga clic en 🔄 Restablecer Vista para restablecer la vista a la predeterminada.
• Haga clic en los nombres de objetos para saltar a información detallada, incluso en otros reportes.
• Al usar la navegación interna, presione el botón de retroceso del navegador para regresar.
• Algunos encabezados de tabla muestran texto de ayuda al pasar el ratón.
• Ordene los datos haciendo clic en un encabezado de tabla.

Filtrado

• Si no se especifica un operador, el filtrado por defecto es contiene.
• Use = para una coincidencia exacta.
• Use ^ para comienza con (ej., ^Mallory).
• Use $ para termina con (ej., $domain.ch).
• Los operadores de comparación como >, <, >=, <= son compatibles (solo valores numéricos).
• Los filtros se pueden negar comenzando con ! (excepto para comparaciones numéricas). Ejemplos: !Mallory, !=Mallory, !^Mallory o !$domain.ch.

Controles usando Parámetros GET

• Filtrado: Aplique filtros usando nombres de campo como parámetros HTTP GET, ej., ?EntraRoles=>1&Enabled=true.
  Para aplicar lógica OR entre columnas, use el prefijo or_ o group1_ (ej., ?or_EntraRoles=>0&or_GrpMem=>0).
• Selección de Columnas: Elija qué columnas mostrar usando el parámetro columns. Ejemplo: ?columns=DisplayName,Owner.
• Ordenamiento: Ordene los datos usando los parámetros sort y sortDir. Ejemplo: ?sort=Impact&sortDir=desc o ?sort=OwnerCount&sortDir=asc.
• Detalles de Objeto: Salte directamente a un objeto específico en el reporte usando un ancla (#) y el ID del objeto, ej., #%ObjectID%.

Clasificación

• Impacto: Representa la cantidad o severidad del permiso que tiene el objeto.
• Probabilidad: Representa qué tan fácilmente puede ser influenciado el objeto o qué tan bien está protegido.
• Riesgo: Puntaje calculado: Impacto × Probabilidad = Riesgo.
• Importante:
  • Esta puntuación está pensada como una evaluación básica para ayudar a ordenar y priorizar las entradas en la tabla.
  • Los puntajes de riesgo no son directamente comparables entre diferentes tipos de objetos o reportes.
  • No está destinada a reemplazar una evaluación de riesgos completa.

🔧Bajo el Capó

Categorización de Roles

Los roles de Entra ID y Azure se clasifican aproximadamente en diferentes niveles de capa. Esta categorización influye en los puntajes de impacto de los objetos asignados a esos roles. El objetivo es asignar un puntaje de impacto más alto a los usuarios con roles más potentes (ej., Administrador Global) en comparación con usuarios con roles menos críticos (ej., Lector Global), incluso si ambos son considerados roles privilegiados por Microsoft.

Nota: Para roles de Azure, esta categorización es menos precisa, ya que el impacto real depende en gran medida del alcance de la asignación del rol. Por ejemplo, un rol de Propietario en una sola máquina virtual tiene un impacto significativamente menor que cuando el mismo rol se aplica a toda una suscripción. También podría ser una suscripción de prueba sin recursos.

Categorización de Permisos de API

Ciertos permisos de API permiten que una aplicación escale directamente a privilegios de Administrador Global. Por lo tanto, varios permisos de API se clasifican en diferentes niveles de severidad. Esta categorización influye en el puntaje de impacto de las aplicaciones que tienen estos permisos asignados, ya sea como permisos de aplicación o permisos delegados para usuarios.

Aplicaciones Empresariales de Microsoft (First-Party)

Por defecto, las aplicaciones de Microsoft se filtran para simplificar la revisión de Aplicaciones Empresariales. Use el parámetro -IncludeMsApps para incluirlas. Las aplicaciones de los siguientes inquilinos se consideran propiedad de Microsoft:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Verificaciones Realizadas

La siguiente tabla resume aproximadamente las verificaciones realizadas, junto con su impacto en la puntuación y si se muestra una advertencia.

🛡️ Detección

EntraFalcon no es sigiloso y puede ser detectado en entornos donde se registran y monitorean las actividades de inicio de sesión de Microsoft Graph API y Azure.

Autenticación predeterminada utilizada

Cuando se realiza una enumeración completa con flujos no BroCi, la herramienta inicia típicamente cuatro inicios de sesión interactivos y uno no interactivo. Dependiendo del flujo y la compatibilidad del punto final, puede ocurrir un inicio de sesión interactivo adicional para los puntos finales de políticas de Hallazgos de Seguridad.

Autenticación BroCi utilizada

Cuando se utiliza la autenticación BroCi, solo ocurre un inicio de sesión interactivo.

Cuando BroCi está habilitado, EntraFalcon también consulta api.azrbac.mspim.azure.com para PIM de Grupos.

Detalles

Para la recolección de datos, la herramienta envía múltiples solicitudes a la API de Microsoft Graph y, opcionalmente, a la API de Azure ARM—una o más por objeto. Cuando es posible, aprovecha el punto final Graph Batch para reducir el número de solicitudes individuales y mejorar la eficiencia.

Los inicios de sesión interactivos usan el User-Agent del navegador. Todos los inicios de sesión no interactivos y solicitudes de API (Graph y ARM) usan EntraFalcon como User-Agent, a menos que se cambie con el parámetro -UserAgent.

Para detectar el uso de EntraFalcon, los equipos azules pueden monitorear los ID de aplicación listados en los registros de inicio de sesión, buscar volúmenes inusuales de tráfico de Graph API, o analizar el comportamiento de actualización de tokens y solicitudes por lotes.

🕳️ Limitaciones conocidas

• M365 RBAC: No evaluado
• Defender for Endpoint RBAC: No evaluado
• Intune RBAC: No evaluado
• Cobertura de usuarios de Acceso Condicional: La cobertura de usuarios efectiva y -ExportCapUncoveredUsers son cálculos de mejor esfuerzo basados en usuarios enumerados, miembros de grupos, asignaciones de roles y categorías de usuarios externos resolubles. Los selectores de usuarios externos solo se resuelven para usuarios invitados del inquilino que coinciden con b2bCollaborationGuest. Otros tipos de usuarios externos o usuarios externos con inquilinos externos especificados pueden hacer que los valores de cobertura sean aproximados. Las rutas PIM elegibles se informan como cobertura potencial y no se cuentan como cubiertas actualmente. La exportación CSV se limita a políticas habilitadas y usuarios habilitados.
• Entorno en la nube: Las plataformas en la nube evolucionan rápidamente. Como resultado, algunas evaluaciones o detecciones pueden volverse obsoletas o inexactas con el tiempo. Además, los inquilinos son cada vez más complejos, y configuraciones específicas o combinaciones de ajustes pueden llevar a resultados inexactos. Si bien nos esforzamos por mantener EntraFalcon actualizado, siempre se recomienda validar los hallazgos de forma independiente y no confiar únicamente en la herramienta para decisiones críticas.
• Informes HTML: Los informes HTML generados no implementan mecanismos de protección contra scripts entre sitios (XSS).

📦 Herramientas externas integradas

Los siguientes submódulos han sido bifurcados e integrados en EntraFalcon para soportar autenticación, interacción con Microsoft Graph y gráficos de informes:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js