EntraFalcon

EntraFalcon è uno strumento di valutazione basato su PowerShell per pentester, analisti della sicurezza e amministratori di sistema, progettato per valutare il livello di sicurezza di un ambiente Microsoft Entra ID.

Pensato per essere facile da usare, EntraFalcon funziona con PowerShell 5.1 e 7, supporta sia Windows che Linux e non richiede moduli PowerShell aggiuntivi, installazioni extra o consenso dell'API Microsoft Graph.

Lo strumento aiuta a individuare oggetti privilegiati, assegnazioni potenzialmente rischiose e configurazioni errate di Conditional Access spesso trascurate, come ad esempio:

• Utenti con controllo su gruppi o applicazioni ad alto privilegio
• Applicazioni enterprise esterne o interne con permessi eccessivi (ad es., API Microsoft Graph, ruoli Azure)
• Utenti con assegnazioni di ruoli IAM di Azure direttamente sulle risorse
• Account privilegiati sincronizzati da ambienti on-premises
• Utenti inattivi o utenti senza capacità MFA
• Gruppi non protetti utilizzati in assegnazioni sensibili (ad es., esclusioni di Conditional Access, Subscription Owner o membri idonei di un gruppo privilegiato)

I risultati vengono presentati in report HTML interattivi per supportare un'esplorazione e un'analisi efficienti.

🚀 Funzionalità

• Script PowerShell semplice, compatibile con PowerShell 5.1 e 7. Funziona su Windows e Linux
• Autenticazione integrata che supporta più metodi
• Utilizza applicazioni Microsoft di prima parte con ambiti pre-consentiti per bypassare le richieste di consenso dell'API Graph
• Genera report HTML navigabili che supportano filtri, ordinamento, esportazione dei dati, ecc.
• Esegue oltre 90 controlli automatizzati e riepiloga i risultati in un Security Findings Report
  • Include controlli per configurazioni tenant deboli e proprietà o permessi degli oggetti rischiosi
  • Fornisce valutazioni di gravità, oltre a descrizioni del problema, potenziali minacce e indicazioni per la correzione
  • Elenca gli oggetti interessati e fornisce collegamenti diretti ai relativi report dettagliati per ulteriori indagini
• Esegue una valutazione di base di impatto, probabilità e rischio per evidenziare gli oggetti ad alto privilegio scarsamente protetti e ordinare i dati.
• Visualizza avvisi per configurazioni rischiose e privilegi elevati
• Enumera gli oggetti Entra ID, tra cui:
  • Utenti (inclusi Agent Users)
  • Gruppi
  • Applicazioni enterprise
  • Registrazioni di app
  • Identità gestite
  • Identità degli agenti
  • Principal del blueprint delle identità degli agenti
  • Blueprint delle identità degli agenti
  • Assegnazioni PIM:
    • PIM per ruoli Entra
    • PIM per gruppi
    • PIM per ruoli Azure
  • Assegnazioni di ruoli Entra
  • Assegnazioni di ruoli Azure
  • Assegnazioni RBAC di Intune
  • Pacchetti di accesso
  • Cataloghi di Entitlement Management
  • RBAC dei cataloghi
  • Criteri di Conditional Access
  • Unità amministrative
  • Impostazioni PIM:
    • PIM per ruoli Entra
    • PIM per gruppi (solo autenticazione BroCi)

✅ Requisiti

Inoltre, devi essere in grado di autenticarti all'API Microsoft Graph e, opzionalmente, all'API Azure ARM dal dispositivo su cui esegui lo strumento. Assicurati che i criteri di Conditional Access non blocchino la tua autenticazione.

▶️ Utilizzo

Scaricare EntraFalcon

Per iniziare, clona il repository e accedi alla directory del progetto:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Nota: Potrebbe essere necessario modificare temporaneamente i criteri di esecuzione di PowerShell per eseguire lo script.
Fallo solo per script attendibili!```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

Eseguire EntraFalcon

EntraFalcon include il supporto integrato per l'autenticazione Entra ID. Usare -AuthFlow per selezionare il flusso di autenticazione.

Per le valutazioni standard, usare uno dei flussi a copertura completa:

BroCi richiede un solo accesso interattivo. BroCiToken e ServicePrincipal non ne richiedono alcuno. I flussi utente di fallback possono richiedere più accessi interattivi perché vengono richiesti token di risorse separati.

Consigliato: flusso BroCi (predefinito / solo Windows)

BroCi usa applicazioni di prima parte alternative e richiede un solo accesso interattivo.
È utile quando il client Azure Active Directory PowerShell richiede l'assegnazione e deve essere evitato.```powershell .\run_EntraFalcon.ps1

Selezione esplicita di BroCi:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

Consigliato: BroCi + Flusso di Codice Manuale```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. Lo script copia l'URL di autenticazione negli appunti.
2. Incolla l'URL in un browser (opzionalmente su un altro dispositivo per il supporto SSO).
3. Apri gli strumenti di sviluppo del browser e, nella scheda Rete, abilita `Preserve log`.
4. Completa l'autenticazione.
5. Cerca nel log di rete `code=1.` e copia l'URL della richiesta contenente il codice negli appunti.
6. Premi Invio per continuare; lo script legge il codice dagli appunti e completa l'acquisizione del token.


#### Consigliato: BroCi con Token
Se è già disponibile un token di aggiornamento valido del portale Azure (client c44b4083-3bb0-49c1-b47d-974e53cbdf3c), può essere utilizzato direttamente.
Esempio: Ottenere il token di aggiornamento dal browser
1. Apri gli strumenti di sviluppo del browser e, nella scheda Rete, abilita Preserve log.
2. Autenticati su https://entra.microsoft.com.
3. Cerca nel log di rete `brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c` ed estrai il token di aggiornamento dalla risposta.```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

Consigliato: Service Principal

Autentica come applicazione registrata utilizzando la concessione delle credenziali client OAuth2 — nessuna interazione utente richiesta. Utile per esecuzioni automatizzate ripetute.
Richiede una registrazione personalizzata dell'app Entra con autorizzazioni API Graph di tipo Application (vedi sotto).

Con segreto client:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

**Con certificato PFX:**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePath "C:\certs\app.pfx"

Per un PFX protetto da password, aggiungi -SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString).

Con certificato PEM + chiave privata (solo PowerShell 7+):```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Per una chiave privata crittografata, aggiungi `-SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString)`.

##### Autorizzazioni richieste per la registrazione dell'app
Concedi le seguenti autorizzazioni **Applicazione** (non Delegata) sulla registrazione dell'app e fornisci il consenso amministrativo:

| Autorizzazione | Tipo |
|---|---|
| `AdministrativeUnit.Read.All` | Applicazione |
| `AgentIdentity.Read.All` | Applicazione |
| `AgentIdentityBlueprint.Read.All` | Applicazione |
| `AgentIdentityBlueprintPrincipal.Read.All` | Applicazione |
| `Application.Read.All` | Applicazione |
| `AuditLog.Read.All` | Applicazione |
| `Device.Read.All` | Applicazione |
| `EntitlementManagement.Read.All` | Applicazione |
| `Group.Read.All` | Applicazione |
| `Organization.Read.All` | Applicazione |
| `Policy.Read.All` | Applicazione |
| `PrivilegedAccess.Read.AzureADGroup` | Applicazione |
| `RoleManagement.Read.Directory` | Applicazione |
| `RoleManagementPolicy.Read.AzureADGroup` | Applicazione |
| `User.Read.All` | Applicazione |
| `DeviceManagementRBAC.Read.All` | Applicazione |

Inoltre, assegna il ruolo **Azure Reader** sul gruppo di gestione radice (o su ogni sottoscrizione pertinente) e, opzionalmente, il ruolo **Global Reader** all'entità servizio in Entra ID (richiesto per lo stato MFA per utente).

#### Fallback: Flusso del codice di autorizzazione (solo Windows)```powershell
.\run_EntraFalcon.ps1 -AuthFlow AuthCode

Fallback: Device Code Flow

È spesso limitato da Conditional Access in ambienti hardened.
Con DeviceCode, due controlli di Security Findings vengono eseguiti con profondità ridotta (CAP-004 e CAP-005).```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

#### Fallback: flusso con codice di autorizzazione + codice manuale```powershell
.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. Lo script copia l'URL di autenticazione negli appunti.
2. Incolla l'URL in un browser (opzionalmente su un altro dispositivo per il supporto SSO).
3. Completa l'autenticazione.
4. Copia l'URL di reindirizzamento finale dalla barra degli indirizzi del browser (contenente il codice di autorizzazione) negli appunti.
5. Premi Invio per continuare; lo script legge il codice dagli appunti e completa l'acquisizione del token.

Altri Parametri

Includi App Enterprise di Proprietà Microsoft

Per impostazione predefinita, le applicazioni enterprise ufficiali di Microsoft sono escluse dalla valutazione per ridurre il rumore. Per includerle nell'enumerazione e nell'analisi, usa l'interruttore -IncludeMsApps:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### Valutazione Skip PIM per i Gruppi
Usa l'opzione `-SkipPimForGroups` per saltare la pre-raccolta e l'arricchimento di PIM per i Gruppi.  
Questo salta anche il report autonomo delle impostazioni di `PIM for Groups`.```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

Altri Parametri Opzionali

📊 Alcuni Esempi di Report

Report dei Security Finding

Utenti

Utenti (Sezione Dettagli)

Ruoli Entra ID

Ruoli Azure

Applicazione Enterprise (Sezione Dettagli)

Policy di Accesso Condizionale

Policy di Accesso Condizionale (Sezione Dettagli)

Impostazioni Ruolo PIM (Entra)

Identità Agente

Riepilogo Enumerazione

📑 Report HTML

Generale

• Fare clic sul pulsante ⚙️ Columns per mostrare o nascondere colonne specifiche.
• Fare clic su 💾 Export per scaricare CSV/JSON o copiare CSV/TSV/JSON dei dati attualmente visibili.
• Fare clic su 👁 Share View per copiare filtri, ordinamento e selezione delle colonne come collegamento condivisibile.
• Fare clic su 🧰 Preset Views per applicare filtri e selezioni di colonne preconfigurati.
• Fare clic su 🔄 Reset View per ripristinare la visualizzazione predefinita.
• Fare clic sui nomi degli oggetti per passare alle informazioni dettagliate, anche in altri report.
• Quando si utilizza la navigazione interna, premere il pulsante Indietro del browser per tornare indietro.
• Alcuni campi di intestazione delle tabelle mostrano testo di aiuto al passaggio del mouse.
• Ordinare i dati facendo clic su un'intestazione di tabella.
• Alt+clic su un'intestazione di colonna principale della tabella per nascondere rapidamente quella colonna.
• Alt+clic su una riga di contenuto della tabella principale per nasconderla temporaneamente. Utilizzare il chip delle righe nascoste o Reset View per mostrare di nuovo le righe nascoste.

Filtraggio

• Se non viene specificato un operatore, il filtraggio utilizza per impostazione predefinita contains.
• Utilizzare = per una corrispondenza esatta.
• Utilizzare ^ per starts with (ad es., ^Mallory).
• Utilizzare $ per ends with (ad es., $domain.ch).
• Sono supportati operatori di confronto come >, <, >=, <= (solo valori numerici).
• I filtri possono essere negati iniziando con ! (tranne per i confronti numerici). Esempi: !Mallory, !=Mallory, !^Mallory o !$domain.ch.
• Utilizzare =empty per corrispondere a celle vuote, o !=empty per corrispondere a celle non vuote.
• Utilizzare || per corrispondere a uno qualsiasi di più valori nella stessa colonna (ad es., Admin || Guest).
• Utilizzare && per richiedere più corrispondenze nella stessa colonna (ad es., !adm && !svc && !sql).
• Per applicare la logica OR tra colonne, utilizzare or_, group1_, group2_... direttamente in un campo di filtro. Esempi: nella colonna 1: or_>1, nella colonna 2: or_!Mallory
• Nota: La colonna DisplayName include anche l'ID dell'oggetto (invisibile), quindi è possibile filtrare anche per ID.

Controlli tramite Parametri GET

• Filtraggio: Applicare i filtri utilizzando i nomi dei campi come parametri HTTP GET, ad es., ?EntraRoles=>1&Enabled=true.
  Per applicare la logica OR tra colonne, utilizzare il prefisso or_ o group1_ (ad es., ?or_EntraRoles=>0&or_GrpMem=>0).
• Selezione Colonne: Scegliere quali colonne visualizzare utilizzando il parametro columns. Esempio: ?columns=DisplayName,Owner.
• Ordinamento: Ordinare i dati utilizzando i parametri sort e sortDir. Esempio: ?sort=Impact&sortDir=desc o ?sort=OwnerCount&sortDir=asc.
• Dettagli Oggetto: Passare direttamente a un oggetto specifico nel report utilizzando un'ancora (#) e l'ID dell'oggetto, ad es. #%ObjectID%.

Valutazione

• Impact: Rappresenta la quantità o la gravità delle autorizzazioni dell'oggetto.
• Likelihood: Rappresenta quanto facilmente l'oggetto può essere influenzato o quanto è protetto.
• Risk: Punteggio calcolato: Impact × Likelihood = Risk.
• Importante:
  • Questo punteggio è inteso come una valutazione di base per aiutare a ordinare e dare priorità alle voci nella tabella.
  • I punteggi di rischio non sono direttamente confrontabili tra diversi tipi di oggetti o report.
  • Non è inteso a sostituire una valutazione completa del rischio.

🔧Sotto il Coffano

Categorizzazione dei Ruoli

I ruoli Entra ID e Azure sono approssimativamente categorizzati in diversi livelli di tier. Questa categorizzazione influenza i punteggi di impatto degli oggetti assegnati a tali ruoli. L'obiettivo è assegnare un punteggio di impatto più alto agli utenti con ruoli più potenti (ad es., Global Administrator) rispetto agli utenti con ruoli meno critici (ad es., Global Reader), anche se entrambi sono considerati ruoli privilegiati da Microsoft.

Nota: Per i ruoli Azure, questa categorizzazione è meno precisa, poiché l'impatto effettivo dipende fortemente dall'ambito dell'assegnazione del ruolo. Ad esempio, un ruolo Owner su una singola macchina virtuale ha un impatto significativamente inferiore rispetto a quando lo stesso ruolo viene applicato a un'intera sottoscrizione. Potrebbe anche essere una sottoscrizione di test senza alcuna risorsa.

Categorizzazione delle Autorizzazioni API

Alcune autorizzazioni API consentono a un'applicazione di escalare direttamente ai privilegi di Global Administrator. Pertanto, diverse autorizzazioni API sono categorizzate in diversi livelli di gravità. Questa categorizzazione influenza il punteggio di impatto delle applicazioni a cui sono assegnate queste autorizzazioni — sia come autorizzazioni applicazione che come autorizzazioni delegate per gli utenti.

Applicazioni Enterprise di Prima Parte Microsoft

Per impostazione predefinita, le applicazioni Microsoft vengono escluse per semplificare la revisione delle Applicazioni Enterprise. Utilizzare l'opzione -IncludeMsApps per includerle. Le applicazioni dei seguenti tenant sono considerate di proprietà Microsoft:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Controlli Eseguiti

La tabella seguente riassume approssimativamente i controlli eseguiti, insieme al loro impatto sul punteggio e alla presenza di un avviso.

🛡️ Rilevamento

EntraFalcon non è stealthy e può essere rilevato in ambienti in cui l'attività di accesso a Microsoft Graph API e Azure viene registrata e monitorata.

Autenticazione predefinita utilizzata

Quando viene eseguita un'enumerazione completa con flussi non BroCi, lo strumento avvia in genere quattro accessi interattivi e un accesso non interattivo. A seconda del flusso e del supporto dell'endpoint, può verificarsi un ulteriore accesso interattivo per gli endpoint delle policy di Security Findings.

Autenticazione BroCi utilizzata

Quando viene utilizzata l'autenticazione BroCi, si verifica un solo accesso interattivo.

Quando BroCi è abilitato, EntraFalcon interroga anche api.azrbac.mspim.azure.com per PIM per i gruppi.

Dettagli

Per la raccolta dei dati, lo strumento invia più richieste a Microsoft Graph API e, facoltativamente, ad Azure ARM API—una o più per oggetto. Dove possibile, sfrutta l'endpoint Batch di Graph per ridurre il numero di richieste individuali e migliorare l'efficienza.

Gli accessi interattivi utilizzano lo User-Agent del browser. Tutti gli accessi non interattivi e le richieste API (Graph e ARM) utilizzano EntraFalcon come User-Agent, a meno che non venga modificato con il parametro -UserAgent.

Per rilevare l'utilizzo di EntraFalcon, i blue team possono monitorare i log di accesso per gli ID applicazione elencati, cercare volumi insoliti di traffico Graph API o analizzare il comportamento di aggiornamento dei token e delle richieste batch.

🕳️ Limitazioni note

• RBAC M365: non valutato
• RBAC Defender for Endpoint: non valutato
• Copertura utenti Conditional Access: la copertura utente effettiva e -ExportCapUncoveredUsers sono calcoli best-effort basati su utenti enumerati, membri di gruppi, assegnazioni di ruoli e categorie di utenti esterni risolvibili. I selettori di utenti esterni vengono risolti solo per gli utenti guest del tenant che corrispondono a b2bCollaborationGuest. Altri tipi di utenti esterni o utenti esterni con tenant esterni specificati possono rendere approssimativi i valori di copertura. I percorsi PIM eleggibili vengono segnalati come copertura potenziale e non vengono conteggiati come attualmente coperti. L'esportazione CSV è limitata alle policy abilitate e agli utenti abilitati.
• Ambiente cloud: le piattaforme cloud si evolvono rapidamente. Di conseguenza, alcune valutazioni o rilevamenti potrebbero diventare obsoleti o imprecisi nel tempo. Inoltre, i tenant stanno diventando sempre più complessi e configurazioni specifiche o combinazioni di impostazioni possono portare a risultati imprecisi. Sebbene ci impegniamo a mantenere EntraFalcon aggiornato, si consiglia sempre di convalidare i risultati in modo indipendente e di non fare affidamento esclusivamente sullo strumento per decisioni critiche.
• Report HTML: i report HTML generati non implementano meccanismi di protezione contro il cross-site scripting (XSS).

📦 Strumenti esterni integrati

I seguenti sottomoduli sono stati forkati e integrati in EntraFalcon per supportare l'autenticazione, l'interazione con Microsoft Graph e i grafici dei report:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js