EntraFalcon

EntraFalcon è uno strumento di assessment basato su PowerShell per pentester, analisti di sicurezza e amministratori di sistema per valutare la postura di sicurezza di un ambiente Microsoft Entra ID.

Progettato per essere facile da usare, EntraFalcon funziona su PowerShell 5.1 e 7, supporta sia Windows che Linux e non richiede moduli PowerShell aggiuntivi, installazioni extra o consenso all'API Microsoft Graph.

Lo strumento aiuta a scoprire oggetti privilegiati, assegnazioni potenzialmente rischiose e misconfigurazioni di Conditional Access che spesso vengono trascurate, come:

• Utenti con controllo su gruppi o applicazioni ad alto privilegio
• Applicazioni enterprise esterne o interne con permessi eccessivi (ad es., Microsoft Graph API, ruoli Azure)
• Utenti con assegnazioni di ruoli Azure IAM direttamente sulle risorse
• Account privilegiati sincronizzati da on-premises
• Utenti inattivi o utenti senza capacità MFA
• Gruppi non protetti utilizzati in assegnazioni sensibili (ad es., esclusioni di Conditional Access, Subscription Owner o membro idoneo di un gruppo privilegiato)

I risultati sono presentati in report HTML interattivi per supportare un'esplorazione e un'analisi efficienti.

🚀 Funzionalità

• Semplice script PowerShell compatibile con PowerShell 5.1 e 7. Funziona su Windows e Linux
• Autenticazione integrata che supporta molteplici metodi
• Utilizza applicazioni Microsoft first-party con scope pre-consentiti per aggirare le richieste di consenso all'API Graph
• Genera report HTML navigabili che supportano filtraggio, ordinamento, esportazione dati, ecc.
• Esegue >90 controlli automatizzati e riassume i risultati in un Security Findings Report
  • Include controlli per configurazioni deboli del tenant e proprietà o permessi rischiosi degli oggetti
  • Fornisce valutazioni di severità nonché descrizioni del problema, potenziali minacce e indicazioni per la remediation
  • Elenca gli oggetti interessati e collega direttamente ai loro report dettagliati per ulteriori indagini
• Esegue un punteggio di base di impatto, probabilità e rischio per evidenziare oggetti ad alto privilegio debolmente protetti e ordinare i dati.
• Mostra avvisi per configurazioni rischiose e privilegi elevati
• Enumera gli oggetti Entra ID, tra cui:
  • Utenti (inclusi Agent Users)
  • Gruppi
  • Enterprise Applications
  • App Registrations
  • Managed Identities
  • Agent identities
  • Agent identity blueprint principals
  • Agent identity blueprints
  • Assegnazioni PIM:
    • PIM per ruoli Entra
    • PIM per gruppi
    • PIM per ruoli Azure
  • Assegnazioni di ruoli Entra
  • Assegnazioni di ruoli Azure
  • Assegnazioni RBAC Intune
  • Access Packages
  • Entitlement Management Catalogs
  • Catalog RBAC
  • Conditional Access Policies
  • Administrative Units
  • Impostazioni PIM:
    • PIM per ruoli Entra
    • PIM per gruppi (solo autenticazione BroCi)

✅ Requisiti

Tipo	Permesso	Obbligatorio	Impatto se mancante
Ruolo Entra ID	Global Reader	Sì	Impossibile eseguire gli script
Ruolo Azure	Reader: su ogni Management Group o Subscription	No	Non è possibile valutare le assegnazioni Azure IAM

Inoltre, è necessario essere in grado di autenticarsi all'API Microsoft Graph e opzionalmente all'API Azure ARM dal dispositivo su cui si esegue lo strumento. Assicurarsi che le Conditional Access Policies non blocchino l'autenticazione.

▶️ Utilizzo

Scaricare EntraFalcon

Per iniziare, clonare il repository e navigare nella directory del progetto:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Nota: potrebbe essere necessario modificare temporaneamente i criteri di esecuzione di PowerShell per eseguire lo script.
Fallo solo per script attendibili!```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

Eseguire EntraFalcon

EntraFalcon include il supporto integrato per l'autenticazione a Entra ID. Usa -AuthFlow per selezionare il flusso di autenticazione.

Per le valutazioni normali, usa uno dei flussi a copertura completa:

Flusso consigliato	Ideale per	Piattaforma	Copertura
BroCi (predefinito)	Esecuzioni interattive su Windows	Windows	Completa
BroCiManualCode	Autenticazione in un altro browser	Windows, Linux, macOS	Completa
BroCiToken	Token di aggiornamento esistente del portale Azure	Windows, Linux, macOS	Completa
ServicePrincipal	Automazione / CI	Windows, Linux, macOS	Completa

BroCi utilizza un accesso interattivo. BroCiToken e ServicePrincipal non ne utilizzano nessuno. I flussi utente di fallback possono richiedere più accessi interattivi perché vengono richiesti token per risorse separate.

Flussi di autenticazione di fallback

A causa della mancanza di applicazioni first-party pre-autorizzate, i flussi di fallback non possono eseguire l'enumerazione completa (PIM for Groups, Access Packages, Catalogs). Pertanto, attualmente rimangono solo opzioni di fallback.

Flusso	Usare solo quando	Piattaforma	Limitazioni
AuthCode	È richiesta la compatibilità legacy	Windows	Copertura parziale. Nessun report autonomo per PIM for Groups, Access Packages o Catalogs.
DeviceCode	L'autenticazione basata su browser non è possibile	Windows, Linux, macOS	Copertura parziale. Nessun report autonomo per PIM for Groups, Access Packages o Catalogs. Alcuni controlli dei Security Findings vengono eseguiti con profondità ridotta.
ManualCode	L'autenticazione deve essere completata tramite una sessione browser separata	Windows, Linux, macOS	Copertura parziale. Nessun report autonomo per PIM for Groups, Access Packages o Catalogs.

Consigliato: flusso BroCi (predefinito / solo Windows)

BroCi utilizza applicazioni first-party alternative e richiede un solo accesso interattivo.
È utile quando il client Azure Active Directory PowerShell richiede un'assegnazione e deve essere evitato.```powershell .\run_EntraFalcon.ps1

Selezione esplicita di BroCi:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

Consigliato: BroCi + Flusso di Codice Manuale```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. Lo script copia l'URL di autenticazione negli appunti.
2. Incolla l'URL in un browser (opzionalmente su un altro dispositivo per il supporto SSO).
3. Apri gli strumenti per sviluppatori del browser e, nella scheda Network, abilita `Preserve log`.
4. Completa l'autenticazione.
5. Cerca nel log di rete `code=1.` e copia negli appunti l'URL della richiesta contenente il code.
6. Premi Invio per continuare; lo script legge il code dagli appunti e completa l'acquisizione del token.


#### Consigliato: BroCi con Token
Se è già disponibile un refresh token valido di Azure Portal (client c44b4083-3bb0-49c1-b47d-974e53cbdf3c), può essere utilizzato direttamente.
Esempio: Ottenere il refresh token dal browser
1. Apri gli strumenti per sviluppatori del browser e, nella scheda Network, abilita Preserve log.
2. Autenticati su https://entra.microsoft.com.
3. Cerca nel log di rete `brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c` ed estrai il refresh token dalla risposta.```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

Consigliato: Service Principal

Esegue l'autenticazione come applicazione registrata utilizzando il grant delle credenziali client OAuth2 — non è richiesta l'interazione dell'utente. Utile per esecuzioni automatizzate ripetute.
Richiede una registrazione personalizzata dell'app Entra con autorizzazioni API Graph di tipo Application (vedi sotto).