EntraFalcon

EntraFalcon est un outil d'évaluation basé sur PowerShell destiné aux pentesters, analystes de sécurité et administrateurs système pour évaluer la posture de sécurité d'un environnement Microsoft Entra ID.

Conçu pour être facile à utiliser, EntraFalcon fonctionne sur PowerShell 5.1 et 7, prend en charge Windows et Linux, et ne nécessite aucun module PowerShell supplémentaire, installation additionnelle ou consentement Microsoft Graph API.

L'outil aide à découvrir les objets privilégiés, les affectations potentiellement risquées et les mauvaises configurations de Conditional Access souvent négligées, telles que :

• Utilisateurs ayant un contrôle sur des groupes ou applications à haute privilège
• Applications d'entreprise externes ou internes avec des autorisations excessives (par exemple, Microsoft Graph API, rôles Azure)
• Utilisateurs avec des affectations de rôles Azure IAM directement sur des ressources
• Comptes privilégiés synchronisés depuis un environnement sur site
• Utilisateurs inactifs ou utilisateurs sans capacité MFA
• Groupes non protégés utilisés dans des affectations sensibles (par exemple, exclusions de Conditional Access, Subscription Owner, ou membre éligible d'un groupe privilégié)

Les résultats sont présentés dans des rapports HTML interactifs pour faciliter l'exploration et l'analyse efficaces.

🚀 Fonctionnalités

• Script PowerShell simple compatible avec PowerShell 5.1 et 7. Fonctionne sur Windows et Linux
• Authentification intégrée prenant en charge plusieurs méthodes
• Utilise des applications Microsoft propriétaires avec des scopes pré-consentis pour contourner les invites de consentement Graph API
• Génère des rapports HTML navigables prenant en charge le filtrage, le tri, l'export de données, etc.
• Effectue plus de 90 vérifications automatisées et résume les résultats dans un rapport de constats de sécurité
  • Inclut des vérifications pour les configurations de locataire faibles et les propriétés ou autorisations d'objets risquées
  • Fournit des niveaux de gravité ainsi que des descriptions du problème, des menaces potentielles et des recommandations de remédiation
  • Liste les objets concernés et fournit des liens directs vers leurs rapports détaillés pour une investigation approfondie
• Effectue une évaluation de base de l'impact, de la probabilité et du risque pour mettre en évidence les objets à haute privilège faiblement protégés et trier les données.
• Affiche des avertissements pour les configurations risquées et les privilèges élevés
• Énumère les objets Entra ID, notamment :
  • Utilisateurs (y compris les Agent Users)
  • Groupes
  • Applications d'entreprise
  • Inscriptions d'applications
  • Identités managées
  • Identités d'agents
  • Principaux de blueprint d'identité d'agent
  • Blueprints d'identité d'agent
  • Affectations PIM :
    • PIM pour les rôles Entra
    • PIM pour les groupes
    • PIM pour les rôles Azure
  • Affectations de rôles Entra
  • Affectations de rôles Azure
  • Affectations RBAC Intune
  • Packages d'accès
  • Catalogues de gestion des droits
  • RBAC de catalogue
  • Politiques de Conditional Access
  • Unités administratives
  • Paramètres PIM :
    • PIM pour les rôles Entra
    • PIM pour les groupes (authentification BroCi uniquement)

✅ Exigences

De plus, vous devez pouvoir vous authentifier auprès de la Microsoft Graph API et éventuellement de l'API Azure ARM depuis l'appareil où vous exécutez l'outil. Assurez-vous que les politiques de Conditional Access ne bloquent pas votre authentification.

▶️ Utilisation

Télécharger EntraFalcon

Pour commencer, clonez le dépôt et naviguez dans le répertoire du projet :```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Note : Vous devrez peut-être modifier temporairement la stratégie d'exécution de PowerShell pour exécuter le script.
Ne faites cela que pour des scripts de confiance !```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

Exécuter EntraFalcon

EntraFalcon intègre une prise en charge native de l’authentification Entra ID. Utilisez -AuthFlow pour sélectionner le flux d’authentification.

Pour les évaluations standard, utilisez l’un des flux à couverture complète :

BroCi nécessite une seule connexion interactive. BroCiToken et ServicePrincipal n’en nécessitent aucune. Les flux utilisateur de secours peuvent exiger plusieurs connexions interactives, car des jetons de ressources distincts sont demandés.

Recommandé : flux BroCi (par défaut / Windows uniquement)

BroCi utilise des applications tierces alternatives et ne nécessite qu’une seule connexion interactive.
Il est utile lorsque le client Azure Active Directory PowerShell nécessite une attribution et doit être évité.```powershell .\run_EntraFalcon.ps1

Sélection explicite de BroCi :```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

Recommandé : BroCi + Flux de code manuel```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. Le script copie l'URL d'authentification dans le presse-papiers.
2. Collez l'URL dans un navigateur (éventuellement sur un autre appareil pour la prise en charge SSO).
3. Ouvrez les outils de développement du navigateur et, dans l'onglet Réseau, activez `Preserve log`.
4. Terminez l'authentification.
5. Recherchez `code=1.` dans le journal réseau et copiez l'URL de la requête contenant le code dans le presse-papiers.
6. Appuyez sur Entrée pour continuer ; le script lit le code depuis le presse-papiers et termine l'acquisition du jeton.


#### Recommandé : BroCi avec jeton
Si un jeton d'actualisation Azure Portal valide est déjà disponible (client c44b4083-3bb0-49c1-b47d-974e53cbdf3c), il peut être utilisé directement.
Exemple : Obtention du jeton d'actualisation depuis le navigateur
1. Ouvrez les outils de développement du navigateur et, dans l'onglet Réseau, activez Preserve log.
2. Authentifiez-vous sur https://entra.microsoft.com.
3. Recherchez `brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c` dans le journal réseau et extrayez le jeton d'actualisation de la réponse.```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

Recommandé : Principal de service

S’authentifie en tant qu’application enregistrée via la concession d’informations d’identification client OAuth2 — aucune interaction utilisateur requise. Utile pour les exécutions automatisées répétées.
Nécessite un enregistrement d’application Entra personnalisé avec des autorisations Graph API de type Application (voir ci-dessous).

Avec secret client :```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

**Avec certificat PFX :**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePath "C:\certs\app.pfx"

Pour un PFX protégé par mot de passe, ajoutez -SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString).

Avec certificat PEM + clé privée (PowerShell 7+ uniquement) :```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Pour une clé privée chiffrée, ajoutez `-SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString)`.

##### Autorisations requises pour l’inscription de l’application
Accordez les autorisations **Application** suivantes (et non Déléguées) sur l’inscription de l’application et administrez-y le consentement :

| Autorisation | Type |
|---|---|
| `AdministrativeUnit.Read.All` | Application |
| `AgentIdentity.Read.All` | Application |
| `AgentIdentityBlueprint.Read.All` | Application |
| `AgentIdentityBlueprintPrincipal.Read.All` | Application |
| `Application.Read.All` | Application |
| `AuditLog.Read.All` | Application |
| `Device.Read.All` | Application |
| `EntitlementManagement.Read.All` | Application |
| `Group.Read.All` | Application |
| `Organization.Read.All` | Application |
| `Policy.Read.All` | Application |
| `PrivilegedAccess.Read.AzureADGroup` | Application |
| `RoleManagement.Read.Directory` | Application |
| `RoleManagementPolicy.Read.AzureADGroup` | Application |
| `User.Read.All` | Application |
| `DeviceManagementRBAC.Read.All` | Application |

De plus, attribuez le rôle **Azure Reader** sur le groupe de gestion racine (ou sur chaque abonnement concerné) et, éventuellement, le rôle **Global Reader** au principal de service dans Entra ID (requis pour le statut MFA par utilisateur).

#### Repli : Flux de code d’autorisation (Windows uniquement)```powershell
.\run_EntraFalcon.ps1 -AuthFlow AuthCode

Repli : Flux de code d’appareil (Device Code Flow)

Il est souvent restreint par l’accès conditionnel dans les environnements durcis.
Avec DeviceCode, deux contrôles de Security Findings s’exécutent avec une profondeur réduite (CAP-004 et CAP-005).```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

#### Fallback : flux de code d'authentification + code manuel```powershell
.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. Le script copie l'URL d'authentification dans le presse-papiers.
2. Collez l'URL dans un navigateur (éventuellement sur un autre appareil pour la prise en charge du SSO).
3. Terminez l'authentification.
4. Copiez l'URL de redirection finale depuis la barre d'adresse du navigateur (contenant le code d'autorisation) dans le presse-papiers.
5. Appuyez sur Entrée pour continuer ; le script lit le code depuis le presse-papiers et termine l'acquisition du jeton.

Autres Paramètres

Inclure les Applications d'Entreprise Appartenant à Microsoft

Par défaut, les applications d'entreprise officielles de Microsoft sont exclues de l'évaluation afin de réduire le bruit. Pour les inclure dans l'énumération et l'analyse, utilisez le commutateur -IncludeMsApps :```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### Ignorer l'évaluation PIM pour les groupes
Utilisez le commutateur `-SkipPimForGroups` pour ignorer la précollecte et l'enrichissement PIM pour les groupes.  
Cela ignore également le rapport autonome des paramètres `PIM for Groups`.```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

Autres paramètres facultatifs

📊 Exemples de rapports

Rapport de conclusions de sécurité

Utilisateurs

Utilisateurs (section Détails)

Rôles Entra ID

Rôles Azure

Application d'entreprise (section Détails)

Stratégies d'accès conditionnel

Stratégies d'accès conditionnel (section Détails)

Paramètres de rôle PIM (Entra)

Identités d'agent

Résumé de l'énumération

📑 Rapport HTML

Général

• Cliquez sur le bouton ⚙️ Colonnes pour afficher ou masquer des colonnes spécifiques.
• Cliquez sur 💾 Exporter pour télécharger CSV/JSON ou copier CSV/TSV/JSON des données actuellement visibles.
• Cliquez sur 👁 Partager la vue pour copier les filtres, le tri et la sélection de colonnes sous forme de lien partageable.
• Cliquez sur 🧰 Vues prédéfinies pour appliquer des filtres et sélections de colonnes préconfigurés.
• Cliquez sur 🔄 Réinitialiser la vue pour rétablir la vue par défaut.
• Cliquez sur les noms d'objets pour accéder aux informations détaillées, même dans d'autres rapports.
• Lorsque vous utilisez la navigation interne, appuyez sur le bouton précédent du navigateur pour revenir en arrière.
• Certains en-têtes de colonnes de tableau affichent un texte d'aide au survol de la souris.
• Triez les données en cliquant sur un en-tête de tableau.
• Alt+clic sur un en-tête de colonne principale du tableau pour masquer rapidement cette colonne.
• Alt+clic sur une ligne de contenu d'une colonne principale du tableau pour la masquer temporairement. Utilisez la puce des lignes masquées ou Réinitialiser la vue pour réafficher les lignes masquées.

Filtrage

• Si aucun opérateur n'est spécifié, le filtrage utilise par défaut contient.
• Utilisez = pour une correspondance exacte.
• Utilisez ^ pour commence par (par exemple, ^Mallory).
• Utilisez $ pour se termine par (par exemple, $domain.ch).
• Les opérateurs de comparaison comme >, <, >=, <= sont pris en charge (valeurs numériques uniquement).
• Les filtres peuvent être niés en commençant par ! (sauf pour les comparaisons numériques). Exemples : !Mallory, !=Mallory, !^Mallory ou !$domain.ch.
• Utilisez =empty pour correspondre aux cellules vides, ou !=empty pour correspondre aux cellules non vides.
• Utilisez || pour correspondre à l'une des multiples valeurs dans la même colonne (par exemple, Admin || Guest).
• Utilisez && pour exiger plusieurs correspondances dans la même colonne (par exemple, !adm && !svc && !sql).
• Pour appliquer une logique OU entre colonnes, utilisez or_, group1_, group2_... directement dans un champ de filtre. Exemples : dans la colonne 1 : or_>1, dans la colonne 2 : or_!Mallory
• Remarque : La colonne DisplayName inclut également l'ID de l'objet (invisible), il est donc également possible de filtrer par ID.

Contrôles à l'aide de paramètres GET

• Filtrage : Appliquez des filtres en utilisant les noms de champs comme paramètres HTTP GET, par exemple, ?EntraRoles=>1&Enabled=true.
  Pour appliquer une logique OU entre colonnes, utilisez le préfixe or_ ou group1_ (par exemple, ?or_EntraRoles=>0&or_GrpMem=>0).
• Sélection de colonnes : Choisissez les colonnes à afficher à l'aide du paramètre columns. Exemple : ?columns=DisplayName,Owner.
• Tri : Triez les données à l'aide des paramètres sort et sortDir. Exemple : ?sort=Impact&sortDir=desc ou ?sort=OwnerCount&sortDir=asc.
• Détails de l'objet : Accédez directement à un objet spécifique du rapport à l'aide d'une ancre (#) et de l'ID de l'objet, par exemple #%ObjectID%.

Évaluation

• Impact : Représente la quantité ou la gravité des autorisations dont dispose l'objet.
• Probabilité : Représente la facilité avec laquelle l'objet peut être influencé ou la qualité de sa protection.
• Risque : Score calculé : Impact × Probabilité = Risque.
• Important :
  • Ce score est destiné à servir d'évaluation de base pour aider à trier et prioriser les entrées du tableau.
  • Les scores de risque ne sont pas directement comparables entre différents types d'objets ou rapports.
  • Il n'est pas destiné à remplacer une évaluation complète des risques.

🔧Sous le capot

Catégorisation des rôles

Les rôles Entra ID et Azure sont grossièrement catégorisés en différents niveaux de hiérarchie. Cette catégorisation influence les scores d'impact des objets auxquels ces rôles sont attribués. L'objectif est d'attribuer un score d'impact plus élevé aux utilisateurs disposant de rôles plus puissants (par exemple, Administrateur général) par rapport aux utilisateurs disposant de rôles moins critiques (par exemple, Lecteur général), même si les deux sont considérés comme des rôles privilégiés par Microsoft.

Remarque : Pour les rôles Azure, cette catégorisation est moins précise, car l'impact réel dépend fortement de la portée de l'attribution du rôle. Par exemple, un rôle Propriétaire sur une seule machine virtuelle a un impact nettement moindre que lorsque le même rôle est appliqué à un abonnement entier. Il peut également s'agir d'un abonnement de test sans aucune ressource.

Catégorisation des autorisations API

Certaines autorisations API permettent à une application d'élever directement ses privilèges au niveau d'Administrateur général. Par conséquent, plusieurs autorisations API sont catégorisées en différents niveaux de gravité. Cette catégorisation influence le score d'impact des applications auxquelles ces autorisations sont attribuées — soit comme autorisations d'application, soit comme autorisations déléguées pour les utilisateurs.

Applications d'entreprise Microsoft internes

Par défaut, les applications Microsoft sont filtrées pour simplifier l'examen des applications d'entreprise. Utilisez le commutateur -IncludeMsApps pour les inclure. Les applications des locataires suivants sont considérées comme appartenant à Microsoft :

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Vérifications effectuées

Le tableau suivant résume approximativement les vérifications effectuées, ainsi que leur impact sur la notation et l'affichage éventuel d'un avertissement.

🛡️ Détection

EntraFalcon n'est pas furtif et peut être détecté dans les environnements où l'API Microsoft Graph et l'activité de connexion Azure sont journalisées et surveillées.

Authentification par défaut utilisée

Lorsqu'une énumération complète est effectuée avec les flux non-BroCi, l'outil initie généralement quatre connexions interactives et une connexion non interactive. Selon le flux et la prise en charge des points de terminaison, une connexion interactive supplémentaire peut se produire pour les points de terminaison de politique des résultats de sécurité.

Authentification BroCi utilisée

Lorsque l'authentification BroCi est utilisée, une seule connexion interactive se produit.

Lorsque BroCi est activé, EntraFalcon interroge également api.azrbac.mspim.azure.com pour PIM pour groupes.

Détails

Pour la collecte de données, l'outil envoie plusieurs requêtes à l'API Microsoft Graph et, éventuellement, à l'API Azure ARM—une ou plusieurs par objet. Lorsque cela est possible, il exploite le point de terminaison Batch de Graph pour réduire le nombre de requêtes individuelles et améliorer l'efficacité.

Les connexions interactives utilisent le User-Agent du navigateur. Toutes les connexions non interactives et les requêtes API (Graph et ARM) utilisent EntraFalcon comme User-Agent, sauf modification avec le paramètre -UserAgent.

Pour détecter l'utilisation d'EntraFalcon, les équipes bleues peuvent surveiller les ID d'application répertoriés dans les journaux de connexion, rechercher des volumes inhabituels de trafic API Graph, ou analyser le comportement d'actualisation des jetons et des requêtes par lots.

🕳️ Limitations connues

• RBAC M365 : non évalué
• RBAC Defender for Endpoint : non évalué
• Couverture utilisateur Conditional Access : la couverture utilisateur effective et -ExportCapUncoveredUsers sont des calculs au mieux basés sur les utilisateurs énumérés, les membres de groupes, les affectations de rôles et les catégories d'utilisateurs externes résolubles. Les sélecteurs d'utilisateurs externes ne sont résolus que pour les utilisateurs invités du locataire correspondant à b2bCollaborationGuest. D'autres types d'utilisateurs externes ou des utilisateurs externes avec des locataires externes spécifiés peuvent rendre les valeurs de couverture approximatives. Les chemins PIM éligibles sont signalés comme couverture potentielle et ne sont pas comptés comme actuellement couverts. L'exportation CSV est limitée aux politiques activées et aux utilisateurs activés.
• Environnement cloud : les plateformes cloud évoluent rapidement. Par conséquent, certaines évaluations ou détections peuvent devenir obsolètes ou inexactes au fil du temps. De plus, les locataires deviennent de plus en plus complexes, et des configurations spécifiques ou des combinaisons de paramètres peuvent conduire à des résultats inexacts. Bien que nous nous efforcions de maintenir EntraFalcon à jour, il est toujours recommandé de valider les résultats de manière indépendante et de ne pas se fier uniquement à l'outil pour des décisions critiques.
• Rapports HTML : les rapports HTML générés ne mettent pas en œuvre de mécanismes de protection contre le cross-site scripting (XSS).

📦 Outils externes intégrés

Les sous-modules suivants ont été forké et intégrés dans EntraFalcon pour prendre en charge l'authentification, l'interaction avec Microsoft Graph et les graphiques de rapports :

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js