EntraFalcon

EntraFalcon एक PowerShell-आधारित मूल्यांकन उपकरण है जो पेंटेस्टर्स, सुरक्षा विश्लेषकों और सिस्टम प्रशासकों के लिए Microsoft Entra ID वातावरण की सुरक्षा स्थिति का मूल्यांकन करने हेतु बनाया गया है।

उपयोग में आसानी के लिए डिज़ाइन किया गया, EntraFalcon PowerShell 5.1 और 7 पर चलता है, Windows और Linux दोनों का समर्थन करता है, और इसके लिए किसी अतिरिक्त PowerShell मॉड्यूल, अतिरिक्त इंस्टॉलेशन, या Microsoft Graph API सहमति की आवश्यकता नहीं है।

यह उपकरण विशेषाधिकार प्राप्त ऑब्जेक्ट्स, संभावित जोखिम भरे असाइनमेंट और Conditional Access गलत कॉन्फ़िगरेशन को उजागर करने में मदद करता है जिन्हें अक्सर अनदेखा कर दिया जाता है, जैसे:

• उच्च-विशेषाधिकार समूहों या अनुप्रयोगों पर नियंत्रण रखने वाले उपयोगकर्ता
• अत्यधिक अनुमतियों वाले बाहरी या आंतरिक एंटरप्राइज़ अनुप्रयोग (जैसे, Microsoft Graph API, Azure भूमिकाएँ)
• संसाधनों पर सीधे Azure IAM भूमिका असाइनमेंट वाले उपयोगकर्ता
• ऑन-प्रिमाइसेस से सिंक किए गए विशेषाधिकार प्राप्त खाते
• निष्क्रिय उपयोगकर्ता या MFA क्षमता के बिना उपयोगकर्ता
• संवेदनशील असाइनमेंट में उपयोग किए जाने वाले असुरक्षित समूह (जैसे, Conditional Access बहिष्करण, Subscription Owner, या विशेषाधिकार प्राप्त समूह के पात्र सदस्य)

निष्कर्षों को इंटरैक्टिव HTML रिपोर्ट में प्रस्तुत किया जाता है ताकि कुशल अन्वेषण और विश्लेषण का समर्थन किया जा सके।

🚀 विशेषताएँ

• PowerShell 5.1 और 7 के साथ संगत सरल PowerShell स्क्रिप्ट। Windows और Linux पर काम करती है
• कई विधियों का समर्थन करने वाला अंतर्निहित प्रमाणीकरण
• Graph API सहमति संकेतों को बायपास करने के लिए पूर्व-सहमत स्कोप वाले प्रथम-पक्ष Microsoft अनुप्रयोगों का उपयोग करता है
• नेविगेट करने योग्य HTML रिपोर्ट उत्पन्न करता है जो फ़िल्टरिंग, सॉर्टिंग, डेटा निर्यात आदि का समर्थन करती हैं
• 90 से अधिक स्वचालित जाँचें करता है और परिणामों को एक Security Findings Report में सारांशित करता है
  • कमजोर टेनेंट कॉन्फ़िगरेशन और जोखिम भरे ऑब्जेक्ट गुणों या अनुमतियों की जाँच शामिल है
  • गंभीरता रेटिंग के साथ-साथ समस्या का विवरण, संभावित खतरे, और उपचार मार्गदर्शन प्रदान करता है
  • प्रभावित ऑब्जेक्ट्स को सूचीबद्ध करता है और आगे की जाँच के लिए सीधे उनकी विस्तृत रिपोर्ट से लिंक करता है
• कमजोर रूप से संरक्षित उच्च-विशेषाधिकार ऑब्जेक्ट्स को उजागर करने और डेटा को सॉर्ट करने के लिए बुनियादी प्रभाव, संभावना, और जोखिम स्कोरिंग करता है।
• जोखिम भरे कॉन्फ़िगरेशन और उन्नत विशेषाधिकारों के लिए चेतावनियाँ प्रदर्शित करता है
• Entra ID ऑब्जेक्ट्स की गणना करता है, जिनमें शामिल हैं:
  • उपयोगकर्ता (Agent Users सहित)
  • समूह
  • एंटरप्राइज़ अनुप्रयोग
  • App Registrations
  • Managed Identities
  • Agent identities
  • Agent identity blueprint principals
  • Agent identity blueprints
  • PIM असाइनमेंट:
    • PIM for Entra Roles
    • PIM for Groups
    • PIM for Azure Roles
  • Entra Role Assignments
  • Azure Role Assignments
  • Intune RBAC Assignments
  • Access Packages
  • Entitlement Management Catalogs
  • Catalog RBAC
  • Conditional Access Policies
  • Administrative Units
  • PIM सेटिंग्स:
    • PIM for Entra Roles
    • PIM for Groups (केवल BroCi प्रमाणीकरण)

✅ आवश्यकताएँ

Type	Permission	Mandatory	Impact if missing
Entra ID Role	Global Reader	Yes	स्क्रिप्ट चलाना संभव नहीं
Azure Role	Reader: On every Management Group or Subscription	No	Azure IAM असाइनमेंट का मूल्यांकन नहीं कर सकते

इसके अतिरिक्त, आपको उस डिवाइस से Microsoft Graph API और वैकल्पिक रूप से Azure ARM API के लिए प्रमाणित करने में सक्षम होना चाहिए जहाँ आप उपकरण चलाते हैं। सुनिश्चित करें कि Conditional Access Policies आपके प्रमाणीकरण को अवरुद्ध नहीं करती हैं।

▶️ उपयोग

EntraFalcon डाउनलोड करें

आरंभ करने के लिए, रिपॉजिटरी को क्लोन करें और प्रोजेक्ट निर्देशिका में नेविगेट करें:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

नोट: स्क्रिप्ट चलाने के लिए आपको अस्थायी रूप से PowerShell execution policy बदलनी पड़ सकती है।
यह केवल विश्वसनीय स्क्रिप्ट के लिए करें!```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

EntraFalcon चलाएँ

EntraFalcon में Entra ID प्रमाणीकरण के लिए अंतर्निहित समर्थन शामिल है। प्रमाणीकरण प्रवाह चुनने के लिए -AuthFlow का उपयोग करें।

सामान्य मूल्यांकन के लिए, पूर्ण-कवरेज प्रवाहों में से एक का उपयोग करें:

अनुशंसित प्रवाह	सर्वोत्तम किसके लिए	प्लेटफ़ॉर्म	कवरेज
BroCi (डिफ़ॉल्ट)	इंटरैक्टिव Windows रन	Windows	पूर्ण
BroCiManualCode	किसी अन्य ब्राउज़र में प्रमाणीकरण	Windows, Linux, macOS	पूर्ण
BroCiToken	मौजूदा Azure Portal रीफ़्रेश टोकन	Windows, Linux, macOS	पूर्ण
ServicePrincipal	ऑटोमेशन / CI	Windows, Linux, macOS	पूर्ण

BroCi एक इंटरैक्टिव लॉगिन का उपयोग करता है। BroCiToken और ServicePrincipal किसी का भी उपयोग नहीं करते। फ़ॉलबैक उपयोगकर्ता प्रवाहों के लिए कई इंटरैक्टिव लॉगिन की आवश्यकता हो सकती है क्योंकि अलग-अलग संसाधन टोकन का अनुरोध किया जाता है।

फ़ॉलबैक प्रमाणीकरण प्रवाह

पूर्व-सहमति प्राप्त प्रथम-पक्ष अनुप्रयोगों की कमी के कारण, फ़ॉलबैक प्रवाह पूर्ण गणना (PIM for Groups, Access Packages, Catalogs) नहीं कर सकते। इसलिए, वे वर्तमान में केवल फ़ॉलबैक विकल्प बने हुए हैं।

प्रवाह	केवल तब उपयोग करें जब	प्लेटफ़ॉर्म	सीमाएँ
AuthCode	लेगेसी संगतता आवश्यक हो	Windows	आंशिक कवरेज। कोई स्टैंडअलोन PIM for Groups, Access Packages, या Catalogs रिपोर्ट नहीं।
DeviceCode	ब्राउज़र-आधारित प्रमाणीकरण संभव न हो	Windows, Linux, macOS	आंशिक कवरेज। कोई स्टैंडअलोन PIM for Groups, Access Packages, या Catalogs रिपोर्ट नहीं। कुछ Security Findings जाँचें कम गहराई के साथ चलती हैं।
ManualCode	प्रमाणीकरण एक अलग ब्राउज़र सत्र के माध्यम से पूरा किया जाना चाहिए	Windows, Linux, macOS	आंशिक कवरेज। कोई स्टैंडअलोन PIM for Groups, Access Packages, या Catalogs रिपोर्ट नहीं।

अनुशंसित: BroCi प्रवाह (डिफ़ॉल्ट / केवल Windows)

BroCi वैकल्पिक प्रथम-पक्ष अनुप्रयोगों का उपयोग करता है और केवल एक इंटरैक्टिव साइन-इन की आवश्यकता होती है।
यह तब उपयोगी है जब Azure Active Directory PowerShell क्लाइंट को असाइनमेंट की आवश्यकता होती है और उससे बचा जाना चाहिए।```powershell .\run_EntraFalcon.ps1

स्पष्ट BroCi चयन:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

अनुशंसित: BroCi + मैनुअल कोड फ़्लो```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. स्क्रिप्ट प्रमाणीकरण URL को क्लिपबोर्ड पर कॉपी करती है।
2. URL को ब्राउज़र में पेस्ट करें (वैकल्पिक रूप से SSO समर्थन के लिए किसी अन्य डिवाइस पर)।
3. ब्राउज़र डेवलपर टूल्स खोलें और Network टैब में `Preserve log` सक्षम करें।
4. प्रमाणीकरण पूरा करें।
5. नेटवर्क लॉग में `code=1.` खोजें और कोड वाला रिक्वेस्ट URL क्लिपबोर्ड पर कॉपी करें।
6. जारी रखने के लिए Enter दबाएँ; स्क्रिप्ट क्लिपबोर्ड से कोड पढ़ती है और टोकन अधिग्रहण पूरा करती है।


#### अनुशंसित: टोकन के साथ BroCi
यदि एक वैध Azure Portal रीफ्रेश टोकन पहले से उपलब्ध है (client c44b4083-3bb0-49c1-b47d-974e53cbdf3c), तो इसे सीधे उपयोग किया जा सकता है।
उदाहरण: ब्राउज़र से रीफ्रेश टोकन प्राप्त करना
1. ब्राउज़र डेवलपर टूल्स खोलें और Network टैब में Preserve log सक्षम करें।
2. https://entra.microsoft.com पर प्रमाणीकरण करें।
3. नेटवर्क लॉग में `brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c` खोजें और प्रतिक्रिया से रीफ्रेश टोकन निकालें।```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

अनुशंसित: Service Principal

OAuth2 client credentials grant का उपयोग करके एक पंजीकृत एप्लिकेशन के रूप में प्रमाणित करता है — किसी उपयोगकर्ता इंटरैक्शन की आवश्यकता नहीं है। बार-बार स्वचालित निष्पादन के लिए उपयोगी।
Application-प्रकार की Graph API अनुमतियों के साथ एक कस्टम Entra ऐप पंजीकरण की आवश्यकता होती है (नीचे देखें)।