• Inclut des vérifications pour les configurations de locataire faibles et les propriétés ou autorisations d'objets risquées
• Fournit des niveaux de gravité ainsi que des descriptions du problème, des menaces potentielles et des recommandations de remédiation
• Liste les objets concernés et fournit des liens directs vers leurs rapports détaillés pour une investigation approfondie

✅ Exigences

De plus, vous devez pouvoir vous authentifier auprès de la Microsoft Graph API et éventuellement de l'API Azure ARM depuis l'appareil où vous exécutez l'outil. Assurez-vous que les politiques de Conditional Access ne bloquent pas votre authentification.

▶️ Utilisation

Télécharger EntraFalcon

Pour commencer, clonez le dépôt et naviguez dans le répertoire du projet :```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Exécuter EntraFalcon

EntraFalcon intègre une prise en charge native de l’authentification Entra ID. Utilisez -AuthFlow pour sélectionner le flux d’authentification.

Pour les évaluations standard, utilisez l’un des flux à couverture complète :

BroCi nécessite une seule connexion interactive. BroCiToken et ServicePrincipal n’en nécessitent aucune. Les flux utilisateur de secours peuvent exiger plusieurs connexions interactives, car des jetons de ressources distincts sont demandés.

Recommandé : flux BroCi (par défaut / Windows uniquement)

BroCi utilise des applications tierces alternatives et ne nécessite qu’une seule connexion interactive.
Il est utile lorsque le client Azure Active Directory PowerShell nécessite une attribution et doit être évité.```powershell .\run_EntraFalcon.ps1

Recommandé : BroCi + Flux de code manuel```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

Recommandé : Principal de service

S’authentifie en tant qu’application enregistrée via la concession d’informations d’identification client OAuth2 — aucune interaction utilisateur requise. Utile pour les exécutions automatisées répétées.
Nécessite un enregistrement d’application Entra personnalisé avec des autorisations Graph API de type Application (voir ci-dessous).

Avec secret client :```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

Pour un PFX protégé par mot de passe, ajoutez -SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString).

Avec certificat PEM + clé privée (PowerShell 7+ uniquement) :```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Repli : Flux de code d’appareil (Device Code Flow)

Il est souvent restreint par l’accès conditionnel dans les environnements durcis.
Avec DeviceCode, deux contrôles de Security Findings s’exécutent avec une profondeur réduite (CAP-004 et CAP-005).```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

1. Le script copie l'URL d'authentification dans le presse-papiers.
2. Collez l'URL dans un navigateur (éventuellement sur un autre appareil pour la prise en charge du SSO).
3. Terminez l'authentification.
4. Copiez l'URL de redirection finale depuis la barre d'adresse du navigateur (contenant le code d'autorisation) dans le presse-papiers.
5. Appuyez sur Entrée pour continuer ; le script lit le code depuis le presse-papiers et termine l'acquisition du jeton.

Autres Paramètres

Inclure les Applications d'Entreprise Appartenant à Microsoft

Par défaut, les applications d'entreprise officielles de Microsoft sont exclues de l'évaluation afin de réduire le bruit. Pour les inclure dans l'énumération et l'analyse, utilisez le commutateur -IncludeMsApps :```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

Autres paramètres facultatifs

📊 Exemples de rapports

Rapport de conclusions de sécurité

Utilisateurs

Utilisateurs (section Détails)

Rôles Entra ID

Rôles Azure

Application d'entreprise (section Détails)

Stratégies d'accès conditionnel

Stratégies d'accès conditionnel (section Détails)

Paramètres de rôle PIM (Entra)

Identités d'agent

Résumé de l'énumération

📑 Rapport HTML

Général

• Cliquez sur le bouton ⚙️ Colonnes pour afficher ou masquer des colonnes spécifiques.
• Cliquez sur 💾 Exporter pour télécharger CSV/JSON ou copier CSV/TSV/JSON des données actuellement visibles.
• Cliquez sur 👁 Partager la vue pour copier les filtres, le tri et la sélection de colonnes sous forme de lien partageable.
• Cliquez sur 🧰 Vues prédéfinies pour appliquer des filtres et sélections de colonnes préconfigurés.
• Cliquez sur 🔄 Réinitialiser la vue pour rétablir la vue par défaut.
• Cliquez sur les noms d'objets pour accéder aux informations détaillées, même dans d'autres rapports.
• Lorsque vous utilisez la navigation interne, appuyez sur le bouton précédent du navigateur pour revenir en arrière.
• Certains en-têtes de colonnes de tableau affichent un texte d'aide au survol de la souris.
• Triez les données en cliquant sur un en-tête de tableau.
• Alt+clic sur un en-tête de colonne principale du tableau pour masquer rapidement cette colonne.
• Alt+clic sur une ligne de contenu d'une colonne principale du tableau pour la masquer temporairement. Utilisez la puce des lignes masquées ou Réinitialiser la vue pour réafficher les lignes masquées.

Filtrage

• Si aucun opérateur n'est spécifié, le filtrage utilise par défaut contient.
• Utilisez = pour une correspondance exacte.
• Utilisez ^ pour commence par (par exemple, ^Mallory).
• Utilisez $ pour se termine par (par exemple, $domain.ch).
• Les opérateurs de comparaison comme >, <, >=, <= sont pris en charge (valeurs numériques uniquement).
• Les filtres peuvent être niés en commençant par ! (sauf pour les comparaisons numériques). Exemples : !Mallory, !=Mallory, !^Mallory ou !$domain.ch.
• Utilisez =empty pour correspondre aux cellules vides, ou !=empty pour correspondre aux cellules non vides.
• Utilisez || pour correspondre à l'une des multiples valeurs dans la même colonne (par exemple, Admin || Guest).
• Utilisez && pour exiger plusieurs correspondances dans la même colonne (par exemple, !adm && !svc && !sql).
• Pour appliquer une logique OU entre colonnes, utilisez or_, group1_, group2_... directement dans un champ de filtre. Exemples : dans la colonne 1 : or_>1, dans la colonne 2 : or_!Mallory
• Remarque : La colonne DisplayName inclut également l'ID de l'objet (invisible), il est donc également possible de filtrer par ID.

Contrôles à l'aide de paramètres GET

• Filtrage : Appliquez des filtres en utilisant les noms de champs comme paramètres HTTP GET, par exemple, ?EntraRoles=>1&Enabled=true.
  Pour appliquer une logique OU entre colonnes, utilisez le préfixe or_ ou group1_ (par exemple, ?or_EntraRoles=>0&or_GrpMem=>0).
• Sélection de colonnes : Choisissez les colonnes à afficher à l'aide du paramètre columns. Exemple : ?columns=DisplayName,Owner.
• Tri : Triez les données à l'aide des paramètres sort et sortDir. Exemple : ?sort=Impact&sortDir=desc ou ?sort=OwnerCount&sortDir=asc.
• Détails de l'objet : Accédez directement à un objet spécifique du rapport à l'aide d'une ancre (#) et de l'ID de l'objet, par exemple #%ObjectID%.

Évaluation

• Impact : Représente la quantité ou la gravité des autorisations dont dispose l'objet.
• Probabilité : Représente la facilité avec laquelle l'objet peut être influencé ou la qualité de sa protection.
• Risque : Score calculé : Impact × Probabilité = Risque.
• Important :
  • Ce score est destiné à servir d'évaluation de base pour aider à trier et prioriser les entrées du tableau.
  • Les scores de risque ne sont pas directement comparables entre différents types d'objets ou rapports.
  • Il n'est pas destiné à remplacer une évaluation complète des risques.

🔧Sous le capot

Catégorisation des rôles

Les rôles Entra ID et Azure sont grossièrement catégorisés en différents niveaux de hiérarchie. Cette catégorisation influence les scores d'impact des objets auxquels ces rôles sont attribués. L'objectif est d'attribuer un score d'impact plus élevé aux utilisateurs disposant de rôles plus puissants (par exemple, Administrateur général) par rapport aux utilisateurs disposant de rôles moins critiques (par exemple, Lecteur général), même si les deux sont considérés comme des rôles privilégiés par Microsoft.

Remarque : Pour les rôles Azure, cette catégorisation est moins précise, car l'impact réel dépend fortement de la portée de l'attribution du rôle. Par exemple, un rôle Propriétaire sur une seule machine virtuelle a un impact nettement moindre que lorsque le même rôle est appliqué à un abonnement entier. Il peut également s'agir d'un abonnement de test sans aucune ressource.

Catégorisation des autorisations API

Certaines autorisations API permettent à une application d'élever directement ses privilèges au niveau d'Administrateur général. Par conséquent, plusieurs autorisations API sont catégorisées en différents niveaux de gravité. Cette catégorisation influence le score d'impact des applications auxquelles ces autorisations sont attribuées — soit comme autorisations d'application, soit comme autorisations déléguées pour les utilisateurs.

Applications d'entreprise Microsoft internes

Par défaut, les applications Microsoft sont filtrées pour simplifier l'examen des applications d'entreprise. Utilisez le commutateur -IncludeMsApps pour les inclure. Les applications des locataires suivants sont considérées comme appartenant à Microsoft :

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Vérifications effectuées

Le tableau suivant résume approximativement les vérifications effectuées, ainsi que leur impact sur la notation et l'affichage éventuel d'un avertissement.

🛡️ Détection

EntraFalcon n'est pas furtif et peut être détecté dans les environnements où l'API Microsoft Graph et l'activité de connexion Azure sont journalisées et surveillées.

Authentification par défaut utilisée

Lorsqu'une énumération complète est effectuée avec les flux non-BroCi, l'outil initie généralement quatre connexions interactives et une connexion non interactive. Selon le flux et la prise en charge des points de terminaison, une connexion interactive supplémentaire peut se produire pour les points de terminaison de politique des résultats de sécurité.

Authentification BroCi utilisée

Lorsque l'authentification BroCi est utilisée, une seule connexion interactive se produit.

Lorsque BroCi est activé, EntraFalcon interroge également api.azrbac.mspim.azure.com pour PIM pour groupes.

Détails

Pour la collecte de données, l'outil envoie plusieurs requêtes à l'API Microsoft Graph et, éventuellement, à l'API Azure ARM—une ou plusieurs par objet. Lorsque cela est possible, il exploite le point de terminaison Batch de Graph pour réduire le nombre de requêtes individuelles et améliorer l'efficacité.

Les connexions interactives utilisent le User-Agent du navigateur. Toutes les connexions non interactives et les requêtes API (Graph et ARM) utilisent EntraFalcon comme User-Agent, sauf modification avec le paramètre -UserAgent.

Pour détecter l'utilisation d'EntraFalcon, les équipes bleues peuvent surveiller les ID d'application répertoriés dans les journaux de connexion, rechercher des volumes inhabituels de trafic API Graph, ou analyser le comportement d'actualisation des jetons et des requêtes par lots.

🕳️ Limitations connues

• RBAC M365 : non évalué
• RBAC Defender for Endpoint : non évalué
• Couverture utilisateur Conditional Access : la couverture utilisateur effective et -ExportCapUncoveredUsers sont des calculs au mieux basés sur les utilisateurs énumérés, les membres de groupes, les affectations de rôles et les catégories d'utilisateurs externes résolubles. Les sélecteurs d'utilisateurs externes ne sont résolus que pour les utilisateurs invités du locataire correspondant à b2bCollaborationGuest. D'autres types d'utilisateurs externes ou des utilisateurs externes avec des locataires externes spécifiés peuvent rendre les valeurs de couverture approximatives. Les chemins PIM éligibles sont signalés comme couverture potentielle et ne sont pas comptés comme actuellement couverts. L'exportation CSV est limitée aux politiques activées et aux utilisateurs activés.
• Environnement cloud : les plateformes cloud évoluent rapidement. Par conséquent, certaines évaluations ou détections peuvent devenir obsolètes ou inexactes au fil du temps. De plus, les locataires deviennent de plus en plus complexes, et des configurations spécifiques ou des combinaisons de paramètres peuvent conduire à des résultats inexacts. Bien que nous nous efforcions de maintenir EntraFalcon à jour, il est toujours recommandé de valider les résultats de manière indépendante et de ne pas se fier uniquement à l'outil pour des décisions critiques.
• Rapports HTML : les rapports HTML générés ne mettent pas en œuvre de mécanismes de protection contre le cross-site scripting (XSS).

📦 Outils externes intégrés

Les sous-modules suivants ont été forké et intégrés dans EntraFalcon pour prendre en charge l'authentification, l'interaction avec Microsoft Graph et les graphiques de rapports :

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js