EntraFalcon

EntraFalcon est un outil d'évaluation basé sur PowerShell destiné aux pentesteurs, analystes de sécurité et administrateurs système pour évaluer la posture de sécurité d'un environnement Microsoft Entra ID.

Conçu pour être facile à utiliser, EntraFalcon fonctionne sur PowerShell 5.1 et 7, prend en charge Windows et Linux, et ne nécessite aucun module PowerShell supplémentaire, installation supplémentaire ni consentement à l'API Microsoft Graph.

L'outil aide à découvrir des objets privilégiés, des attributions potentiellement risquées et des mauvaises configurations d'Accès conditionnel souvent négligées, telles que :

• Utilisateurs ayant le contrôle sur des groupes ou des applications à haute privilège
• Applications d'entreprise externes ou internes avec des autorisations excessives (par exemple, API Microsoft Graph, rôles Azure)
• Utilisateurs avec des attributions de rôles Azure IAM directement sur les ressources
• Comptes privilégiés synchronisés depuis un environnement local
• Utilisateurs inactifs ou utilisateurs sans capacité MFA
• Groupes non protégés utilisés dans des attributions sensibles (par exemple, exclusions d'Accès conditionnel, propriétaire d'abonnement ou membre éligible d'un groupe privilégié)

Les résultats sont présentés dans des rapports HTML interactifs pour une exploration et une analyse efficaces.

🚀 Fonctionnalités

• Script PowerShell simple compatible avec PowerShell 5.1 et 7. Fonctionne sur Windows et Linux
• Authentification intégrée prenant en charge plusieurs méthodes
• Utilise des applications Microsoft propriétaires avec des étendues pré-consenties pour contourner les invites de consentement de l'API Graph
• Génère des rapports HTML navigables prenant en charge le filtrage, le tri, l'exportation de données, etc.
• Effectue plus de 80 vérifications automatisées et résume les résultats dans un rapport de constats de sécurité
  • Inclut des vérifications pour les configurations faibles du locataire et les propriétés ou autorisations d'objets risquées
  • Fournit des évaluations de gravité ainsi que des descriptions du problème, des menaces potentielles et des conseils de correction
  • Liste les objets concernés et renvoie directement à leurs rapports détaillés pour une enquête plus approfondie
• Effectue une évaluation de base de l'impact, de la probabilité et du risque pour mettre en évidence les objets à haute privilège faiblement protégés et trier les données.
• Affiche des avertissements pour les configurations risquées et les privilèges élevés
• Énumère les objets Entra ID, notamment :
  • Utilisateurs (y compris les utilisateurs agents)
  • Groupes
  • Applications d'entreprise
  • Inscriptions d'applications
  • Identités gérées
  • Identités d'agent (BETA)
  • Responsables de blueprint d'identité d'agent (BETA)
  • Blueprints d'identité d'agent (BETA)
  • Attributions PIM :
    • PIM pour les rôles Entra
    • PIM pour les groupes Entra
    • PIM pour les rôles Azure
  • Attributions de rôles Entra
  • Attributions de rôles Azure
  • Politiques d'Accès conditionnel
  • Unités administratives
  • Paramètres PIM :
    • PIM pour les rôles Entra
    • PIM pour les groupes (authentification BroCi uniquement)

✅ Prérequis

De plus, vous devez pouvoir vous authentifier auprès de l'API Microsoft Graph et éventuellement de l'API Azure ARM depuis l'appareil sur lequel vous exécutez l'outil. Assurez-vous que les politiques d'Accès conditionnel ne bloquent pas votre authentification.

▶️ Utilisation

Téléchargement d'EntraFalcon

Pour commencer, clonez le dépôt et naviguez dans le répertoire du projet :```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Note: Vous devrez peut-être modifier temporairement la politique d'exécution de PowerShell pour exécuter le script.
Faites cela uniquement pour les scripts de confiance !```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

Exécuter EntraFalcon

EntraFalcon inclut une prise en charge intégrée de l’authentification Entra ID.
Plusieurs flux d’authentification sont disponibles pour prendre en charge différents environnements et restrictions.
Selon le flux sélectionné, cela nécessite plusieurs authentifications interactives.

Utilisez -AuthFlow pour sélectionner le flux d’authentification.

Utiliser le flux BroCi (par défaut / Windows uniquement)

BroCi utilise des applications alternatives de première partie et ne nécessite qu’une seule connexion interactive.
Il est également utile lorsque le client Azure Active Directory PowerShell nécessite une attribution et doit être évité.```powershell .\run_EntraFalcon.ps1

Sélection explicite BroCi:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

Flux du code d'authentification (Windows uniquement)```powershell

.\run_EntraFalcon.ps1 -AuthFlow AuthCode

#### Flux de code d'appareil
Il est souvent restreint par l'Accès conditionnel dans les environnements durcis.  
Avec `DeviceCode`, deux vérifications de Security Findings s'exécutent avec une profondeur réduite (`CAP-004` et `CAP-005`).```powershell
.\run_EntraFalcon.ps1 -AuthFlow DeviceCode

Utiliser l'authentification par code d'autorisation + flux manuel de code```powershell

.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. Le script copie l'URL d'authentification dans le presse-papiers.
2. Collez l'URL dans un navigateur (éventuellement sur un autre appareil pour la prise en charge SSO).
3. Terminez l'authentification.
4. Copiez l'URL de redirection finale depuis la barre d'adresse du navigateur (contenant le code d'autorisation) dans le presse-papiers.
5. Appuyez sur Entrée pour continuer ; le script lit le code depuis le presse-papiers et finalise l'acquisition du jeton.


#### BroCi + Flux de code manuel```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. Le script copie l'URL d'authentification dans le presse-papiers.
2. Collez l'URL dans un navigateur (éventuellement sur un autre appareil pour la prise en charge du SSO).
3. Ouvrez les outils de développement du navigateur et, dans l'onglet Réseau, activez Preserve log.
4. Terminez l'authentification.
5. Recherchez dans le journal réseau code=1. et copiez l'URL de la requête contenant le code dans le presse-papiers.
6. Appuyez sur Entrée pour continuer ; le script lit le code depuis le presse-papiers et termine l'acquisition du jeton.

BroCi avec jeton

Si un jeton de rafraîchissement Azure Portal valide est déjà disponible (client c44b4083-3bb0-49c1-b47d-974e53cbdf3c), il peut être utilisé directement. Exemple : Obtenir le jeton de rafraîchissement depuis le navigateur

1. Ouvrez les outils de développement du navigateur et, dans l'onglet Réseau, activez Preserve log.
2. Authentifiez-vous sur https://entra.microsoft.com.
3. Recherchez dans le journal réseau brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c et extrayez le jeton de rafraîchissement de la réponse.```powershell .\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

#### Principal de service
S'authentifie en tant qu'application enregistrée via l'octroi d'identifiants client OAuth2 — aucune interaction utilisateur requise.
Utile pour les exécutions automatisées.  
Nécessite un enregistrement d'application Entra personnalisé avec des autorisations Graph API de type `Application` (voir ci-dessous).

**Avec le secret client :**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPClientSecret "<Secret>"

Avec certificat PFX:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePath "C:\certs\app.pfx"

Pour un PFX protégé par mot de passe, ajoutez `-SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString)`.

**Avec PEM certificate + private key (PowerShell 7+ uniquement):**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Pour une clé privée chiffrée, ajoutez -SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString).

Autorisations requises pour l'inscription d'application

Accordez les autorisations Application suivantes (pas Déléguées) sur l'inscription d'application et donnez-leur le consentement administrateur :

De plus, attribuez le rôle Azure Reader sur le groupe d'administration racine (ou chaque abonnement concerné) et éventuellement le rôle Global Reader au principal de service dans Entra ID (nécessaire pour le statut MFA par utilisateur).

Autres paramètres

Inclure les applications d'entreprise appartenant à Microsoft

Par défaut, les applications d'entreprise officielles Microsoft sont exclues de l'évaluation pour réduire le bruit. Pour les inclure dans l'énumération et l'analyse, utilisez le commutateur -IncludeMsApps :```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### Ignorer l'évaluation PIM pour les groupes
Utilisez le commutateur `-SkipPimForGroups` pour ignorer la pré-collecte et l'enrichissement de PIM-for-Groups.  
Cela ignore également le rapport de paramètres autonome `PIM (Groups)`.```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

Autres paramètres facultatifs

📊 Exemples de rapports

Rapport de résultats de sécurité

Utilisateurs

Utilisateurs (section Détails)

Rôles Entra ID

Rôles Azure

Application d’entreprise (section Détails)

Stratégies d’accès conditionnel

Stratégies d’accès conditionnel (section Détails)

Paramètres des rôles PIM (Entra)

Identités d’agents

Résumé de l’énumération

📑 Rapport HTML

Général

• Cliquez sur le bouton ⚙️ Colonnes pour afficher ou masquer des colonnes spécifiques.
• Cliquez sur 💾 Exporter CSV pour télécharger les données actuellement visibles sous forme de fichier CSV.
• Cliquez sur 👁 Partager la vue pour copier les filtres, le tri et la sélection de colonnes sous forme de lien partageable.
• Cliquez sur 🧰 Vues prédéfinies pour appliquer des filtres et sélections de colonnes préconfigurés.
• Cliquez sur 🔄 Réinitialiser la vue pour rétablir la vue par défaut.
• Cliquez sur les noms d’objets pour accéder aux informations détaillées, même dans d’autres rapports.
• En cas de navigation interne, appuyez sur le bouton Précédent du navigateur pour revenir en arrière.
• Certains en-têtes de tableau affichent un texte d’aide au survol de la souris.
• Trier les données en cliquant sur un en-tête de colonne.

Filtrage

• Si aucun opérateur n’est spécifié, le filtrage par défaut est contient.
• Utilisez = pour une correspondance exacte.
• Utilisez ^ pour commence par (ex. : ^Mallory).
• Utilisez $ pour se termine par (ex. : $domain.ch).
• Les opérateurs de comparaison comme >, <, >=, <= sont pris en charge (valeurs numériques uniquement).
• Les filtres peuvent être niés en commençant par ! (sauf pour les comparaisons numériques). Exemples : !Mallory, !=Mallory, !^Mallory ou !$domain.ch.

Contrôles via les paramètres GET

• Filtrage : Appliquez des filtres en utilisant les noms de champs comme paramètres HTTP GET, ex. : ?EntraRoles=>1&Enabled=true.
  Pour appliquer une logique OU entre colonnes, utilisez le préfixe or_ ou group1_ dans (ex. : ?or_EntraRoles=>0&or_GrpMem=>0).
• Sélection de colonnes : Choisissez les colonnes à afficher avec le paramètre columns. Exemple : ?columns=DisplayName,Owner.
• Tri : Triez les données avec les paramètres sort et sortDir. Exemple : ?sort=Impact&sortDir=desc ou ?sort=OwnerCount&sortDir=asc.
• Détails d’un objet : Accédez directement à un objet spécifique dans le rapport via une ancre (#) et l’ID de l’objet, ex. : #%ObjectID%.

Évaluation

• Impact : Représente la quantité ou la sévérité des permissions détenues par l’objet.
• Probabilité : Représente la facilité avec laquelle l’objet peut être influencé ou à quel point il est protégé.
• Risque : Score calculé : Impact × Probabilité = Risque.
• Important :
  • Ce score est destiné à une évaluation de base pour aider à trier et prioriser les entrées du tableau.
  • Les scores de risque ne sont pas directement comparables entre différents types d’objets ou rapports.
  • Il n’a pas vocation à remplacer une évaluation complète des risques.

🔧 Sous le capot

Catégorisation des rôles

Les rôles Entra ID et Azure sont approximativement classés en différents niveaux. Cette catégorisation influence le score d’impact des objets qui se voient attribuer ces rôles. L’objectif est d’attribuer un score d’impact plus élevé aux utilisateurs ayant des rôles plus puissants (par exemple, Administrateur général) par rapport aux utilisateurs ayant des rôles moins critiques (par exemple, Lecteur général), même si les deux sont considérés comme des rôles privilégiés par Microsoft.

Remarque : Pour les rôles Azure, cette catégorisation est moins précise, car l’impact réel dépend fortement de la portée de l’attribution du rôle. Par exemple, un rôle Propriétaire sur une seule machine virtuelle a un impact bien moindre que lorsque ce même rôle est appliqué à un abonnement entier. Il peut également s’agir d’un abonnement de test sans aucune ressource.

Catégorisation des autorisations API

Certaines autorisations API permettent à une application d’ escalader directement vers les privilèges d’Administrateur général. Par conséquent, plusieurs autorisations API sont classées en différents niveaux de gravité. Cette catégorisation influence le score d’impact des applications qui possèdent ces autorisations — qu’il s’agisse d’autorisations d’application ou d’autorisations déléguées pour les utilisateurs.

Applications d'entreprise de première partie Microsoft

Par défaut, les applications Microsoft sont filtrées pour simplifier la révision des applications d'entreprise. Utilisez le commutateur -IncludeMsApps pour les inclure. Les applications des locataires suivants sont considérées comme appartenant à Microsoft :

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Vérifications effectuées

Le tableau suivant résume approximativement les vérifications effectuées, ainsi que leur impact sur la notation et l'affichage d'un avertissement.

🛡️ Détection

EntraFalcon n'est pas furtif et peut être détecté dans les environnements où l'API Microsoft Graph et les activités de connexion Azure sont journalisées et surveillées.

Authentification par défaut utilisée

Lorsqu'une énumération complète est effectuée avec des flux non-BroCi, l'outil initie généralement quatre connexions interactives et une connexion non interactive. Selon le flux et la prise en charge du point de terminaison, une connexion interactive supplémentaire peut se produire pour les points de terminaison de politique des résultats de sécurité.

Authentification BroCi utilisée

Lorsque l'authentification BroCi est utilisée, une seule connexion interactive se produit.

Lorsque BroCi est activé, EntraFalcon interroge également api.azrbac.mspim.azure.com pour PIM pour les groupes.

Détails

Pour la collecte de données, l'outil envoie plusieurs requêtes à l'API Microsoft Graph et, éventuellement, à l'API Azure ARM — une ou plusieurs par objet. Lorsque c'est possible, il exploite le point de terminaison Graph Batch pour réduire le nombre de requêtes individuelles et améliorer l'efficacité.

Les connexions interactives utilisent le User-Agent du navigateur. Toutes les connexions non interactives et les requêtes API (Graph et ARM) utilisent EntraFalcon comme User-Agent, sauf si modifié avec le paramètre -UserAgent.

Pour détecter l'utilisation d'EntraFalcon, les équipes bleues peuvent surveiller les ID d'application listés dans les journaux de connexion, rechercher des volumes inhabituels de trafic API Graph, ou analyser le comportement des jetons d'actualisation et des requêtes par lots.

🕳️ Limitations connues

• RBAC M365 : Non évalué
• RBAC Defender for Endpoint : Non évalué
• RBAC Intune : Non évalué
• Couverture utilisateur de l'accès conditionnel : La couverture utilisateur effective et -ExportCapUncoveredUsers sont des calculs au mieux basés sur les utilisateurs énumérés, les membres de groupes, les attributions de rôles et les catégories d'utilisateurs externes résolubles. Les sélecteurs d'utilisateurs externes ne sont résolus que pour les utilisateurs invités du locataire correspondant à b2bCollaborationGuest. D'autres types d'utilisateurs externes ou des utilisateurs externes avec des locataires externes spécifiés peuvent rendre les valeurs de couverture approximatives. Les chemins PIM éligibles sont signalés comme couverture potentielle et ne sont pas comptés comme actuellement couverts. L'exportation CSV est limitée aux politiques activées et aux utilisateurs activés.
• Environnement cloud : Les plateformes cloud évoluent rapidement. Par conséquent, certaines évaluations ou détections peuvent devenir obsolètes ou inexactes avec le temps. De plus, les locataires deviennent de plus en plus complexes, et des configurations ou combinaisons de paramètres spécifiques peuvent conduire à des résultats inexacts. Bien que nous nous efforcions de maintenir EntraFalcon à jour, il est toujours recommandé de valider les résultats de manière indépendante et de ne pas se fier uniquement à l'outil pour des décisions critiques.
• Rapports HTML : Les rapports HTML générés ne mettent pas en œuvre de mécanismes de protection contre le cross-site scripting (XSS).

📦 Outils externes intégrés

Les sous-modules suivants ont été forké et intégrés dans EntraFalcon pour prendre en charge l'authentification, l'interaction avec Microsoft Graph et les graphiques de rapports :

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js