✅ Requisiti

Inoltre, devi essere in grado di autenticarti all'API Microsoft Graph e, opzionalmente, all'API Azure ARM dal dispositivo su cui esegui lo strumento. Assicurati che i criteri di Conditional Access non blocchino la tua autenticazione.

▶️ Utilizzo

Scaricare EntraFalcon

Per iniziare, clona il repository e accedi alla directory del progetto:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Eseguire EntraFalcon

EntraFalcon include il supporto integrato per l'autenticazione Entra ID. Usare -AuthFlow per selezionare il flusso di autenticazione.

Per le valutazioni standard, usare uno dei flussi a copertura completa:

BroCi richiede un solo accesso interattivo. BroCiToken e ServicePrincipal non ne richiedono alcuno. I flussi utente di fallback possono richiedere più accessi interattivi perché vengono richiesti token di risorse separati.

Consigliato: flusso BroCi (predefinito / solo Windows)

BroCi usa applicazioni di prima parte alternative e richiede un solo accesso interattivo.
È utile quando il client Azure Active Directory PowerShell richiede l'assegnazione e deve essere evitato.```powershell .\run_EntraFalcon.ps1

Consigliato: BroCi + Flusso di Codice Manuale```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

Consigliato: Service Principal

Autentica come applicazione registrata utilizzando la concessione delle credenziali client OAuth2 — nessuna interazione utente richiesta. Utile per esecuzioni automatizzate ripetute.
Richiede una registrazione personalizzata dell'app Entra con autorizzazioni API Graph di tipo Application (vedi sotto).

Con segreto client:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

Per un PFX protetto da password, aggiungi -SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString).

Con certificato PEM + chiave privata (solo PowerShell 7+):```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Fallback: Device Code Flow

È spesso limitato da Conditional Access in ambienti hardened.
Con DeviceCode, due controlli di Security Findings vengono eseguiti con profondità ridotta (CAP-004 e CAP-005).```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

1. Lo script copia l'URL di autenticazione negli appunti.
2. Incolla l'URL in un browser (opzionalmente su un altro dispositivo per il supporto SSO).
3. Completa l'autenticazione.
4. Copia l'URL di reindirizzamento finale dalla barra degli indirizzi del browser (contenente il codice di autorizzazione) negli appunti.
5. Premi Invio per continuare; lo script legge il codice dagli appunti e completa l'acquisizione del token.

Altri Parametri

Includi App Enterprise di Proprietà Microsoft

Per impostazione predefinita, le applicazioni enterprise ufficiali di Microsoft sono escluse dalla valutazione per ridurre il rumore. Per includerle nell'enumerazione e nell'analisi, usa l'interruttore -IncludeMsApps:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

Altri Parametri Opzionali

📊 Alcuni Esempi di Report

Report dei Security Finding

Utenti

Utenti (Sezione Dettagli)

Ruoli Entra ID

Ruoli Azure

Applicazione Enterprise (Sezione Dettagli)

Policy di Accesso Condizionale

Policy di Accesso Condizionale (Sezione Dettagli)

Impostazioni Ruolo PIM (Entra)

Identità Agente

Riepilogo Enumerazione

📑 Report HTML

Generale

• Fare clic sul pulsante ⚙️ Columns per mostrare o nascondere colonne specifiche.
• Fare clic su 💾 Export per scaricare CSV/JSON o copiare CSV/TSV/JSON dei dati attualmente visibili.
• Fare clic su 👁 Share View per copiare filtri, ordinamento e selezione delle colonne come collegamento condivisibile.
• Fare clic su 🧰 Preset Views per applicare filtri e selezioni di colonne preconfigurati.
• Fare clic su 🔄 Reset View per ripristinare la visualizzazione predefinita.
• Fare clic sui nomi degli oggetti per passare alle informazioni dettagliate, anche in altri report.
• Quando si utilizza la navigazione interna, premere il pulsante Indietro del browser per tornare indietro.
• Alcuni campi di intestazione delle tabelle mostrano testo di aiuto al passaggio del mouse.
• Ordinare i dati facendo clic su un'intestazione di tabella.
• Alt+clic su un'intestazione di colonna principale della tabella per nascondere rapidamente quella colonna.
• Alt+clic su una riga di contenuto della tabella principale per nasconderla temporaneamente. Utilizzare il chip delle righe nascoste o Reset View per mostrare di nuovo le righe nascoste.

Filtraggio

• Se non viene specificato un operatore, il filtraggio utilizza per impostazione predefinita contains.
• Utilizzare = per una corrispondenza esatta.
• Utilizzare ^ per starts with (ad es., ^Mallory).
• Utilizzare $ per ends with (ad es., $domain.ch).
• Sono supportati operatori di confronto come >, <, >=, <= (solo valori numerici).
• I filtri possono essere negati iniziando con ! (tranne per i confronti numerici). Esempi: !Mallory, !=Mallory, !^Mallory o !$domain.ch.
• Utilizzare =empty per corrispondere a celle vuote, o !=empty per corrispondere a celle non vuote.
• Utilizzare || per corrispondere a uno qualsiasi di più valori nella stessa colonna (ad es., Admin || Guest).
• Utilizzare && per richiedere più corrispondenze nella stessa colonna (ad es., !adm && !svc && !sql).
• Per applicare la logica OR tra colonne, utilizzare or_, group1_, group2_... direttamente in un campo di filtro. Esempi: nella colonna 1: or_>1, nella colonna 2: or_!Mallory
• Nota: La colonna DisplayName include anche l'ID dell'oggetto (invisibile), quindi è possibile filtrare anche per ID.

Controlli tramite Parametri GET

• Filtraggio: Applicare i filtri utilizzando i nomi dei campi come parametri HTTP GET, ad es., ?EntraRoles=>1&Enabled=true.
  Per applicare la logica OR tra colonne, utilizzare il prefisso or_ o group1_ (ad es., ?or_EntraRoles=>0&or_GrpMem=>0).
• Selezione Colonne: Scegliere quali colonne visualizzare utilizzando il parametro columns. Esempio: ?columns=DisplayName,Owner.
• Ordinamento: Ordinare i dati utilizzando i parametri sort e sortDir. Esempio: ?sort=Impact&sortDir=desc o ?sort=OwnerCount&sortDir=asc.
• Dettagli Oggetto: Passare direttamente a un oggetto specifico nel report utilizzando un'ancora (#) e l'ID dell'oggetto, ad es. #%ObjectID%.

Valutazione

• Impact: Rappresenta la quantità o la gravità delle autorizzazioni dell'oggetto.
• Likelihood: Rappresenta quanto facilmente l'oggetto può essere influenzato o quanto è protetto.
• Risk: Punteggio calcolato: Impact × Likelihood = Risk.
• Importante:
  • Questo punteggio è inteso come una valutazione di base per aiutare a ordinare e dare priorità alle voci nella tabella.
  • I punteggi di rischio non sono direttamente confrontabili tra diversi tipi di oggetti o report.
  • Non è inteso a sostituire una valutazione completa del rischio.

🔧Sotto il Coffano

Categorizzazione dei Ruoli

I ruoli Entra ID e Azure sono approssimativamente categorizzati in diversi livelli di tier. Questa categorizzazione influenza i punteggi di impatto degli oggetti assegnati a tali ruoli. L'obiettivo è assegnare un punteggio di impatto più alto agli utenti con ruoli più potenti (ad es., Global Administrator) rispetto agli utenti con ruoli meno critici (ad es., Global Reader), anche se entrambi sono considerati ruoli privilegiati da Microsoft.

Nota: Per i ruoli Azure, questa categorizzazione è meno precisa, poiché l'impatto effettivo dipende fortemente dall'ambito dell'assegnazione del ruolo. Ad esempio, un ruolo Owner su una singola macchina virtuale ha un impatto significativamente inferiore rispetto a quando lo stesso ruolo viene applicato a un'intera sottoscrizione. Potrebbe anche essere una sottoscrizione di test senza alcuna risorsa.

Categorizzazione delle Autorizzazioni API

Alcune autorizzazioni API consentono a un'applicazione di escalare direttamente ai privilegi di Global Administrator. Pertanto, diverse autorizzazioni API sono categorizzate in diversi livelli di gravità. Questa categorizzazione influenza il punteggio di impatto delle applicazioni a cui sono assegnate queste autorizzazioni — sia come autorizzazioni applicazione che come autorizzazioni delegate per gli utenti.

Applicazioni Enterprise di Prima Parte Microsoft

Per impostazione predefinita, le applicazioni Microsoft vengono escluse per semplificare la revisione delle Applicazioni Enterprise. Utilizzare l'opzione -IncludeMsApps per includerle. Le applicazioni dei seguenti tenant sono considerate di proprietà Microsoft:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Controlli Eseguiti

La tabella seguente riassume approssimativamente i controlli eseguiti, insieme al loro impatto sul punteggio e alla presenza di un avviso.

🛡️ Rilevamento

EntraFalcon non è stealthy e può essere rilevato in ambienti in cui l'attività di accesso a Microsoft Graph API e Azure viene registrata e monitorata.

Autenticazione predefinita utilizzata

Quando viene eseguita un'enumerazione completa con flussi non BroCi, lo strumento avvia in genere quattro accessi interattivi e un accesso non interattivo. A seconda del flusso e del supporto dell'endpoint, può verificarsi un ulteriore accesso interattivo per gli endpoint delle policy di Security Findings.

Autenticazione BroCi utilizzata

Quando viene utilizzata l'autenticazione BroCi, si verifica un solo accesso interattivo.

Quando BroCi è abilitato, EntraFalcon interroga anche api.azrbac.mspim.azure.com per PIM per i gruppi.

Dettagli

Per la raccolta dei dati, lo strumento invia più richieste a Microsoft Graph API e, facoltativamente, ad Azure ARM API—una o più per oggetto. Dove possibile, sfrutta l'endpoint Batch di Graph per ridurre il numero di richieste individuali e migliorare l'efficienza.

Gli accessi interattivi utilizzano lo User-Agent del browser. Tutti gli accessi non interattivi e le richieste API (Graph e ARM) utilizzano EntraFalcon come User-Agent, a meno che non venga modificato con il parametro -UserAgent.

Per rilevare l'utilizzo di EntraFalcon, i blue team possono monitorare i log di accesso per gli ID applicazione elencati, cercare volumi insoliti di traffico Graph API o analizzare il comportamento di aggiornamento dei token e delle richieste batch.

🕳️ Limitazioni note

• RBAC M365: non valutato
• RBAC Defender for Endpoint: non valutato
• Copertura utenti Conditional Access: la copertura utente effettiva e -ExportCapUncoveredUsers sono calcoli best-effort basati su utenti enumerati, membri di gruppi, assegnazioni di ruoli e categorie di utenti esterni risolvibili. I selettori di utenti esterni vengono risolti solo per gli utenti guest del tenant che corrispondono a b2bCollaborationGuest. Altri tipi di utenti esterni o utenti esterni con tenant esterni specificati possono rendere approssimativi i valori di copertura. I percorsi PIM eleggibili vengono segnalati come copertura potenziale e non vengono conteggiati come attualmente coperti. L'esportazione CSV è limitata alle policy abilitate e agli utenti abilitati.
• Ambiente cloud: le piattaforme cloud si evolvono rapidamente. Di conseguenza, alcune valutazioni o rilevamenti potrebbero diventare obsoleti o imprecisi nel tempo. Inoltre, i tenant stanno diventando sempre più complessi e configurazioni specifiche o combinazioni di impostazioni possono portare a risultati imprecisi. Sebbene ci impegniamo a mantenere EntraFalcon aggiornato, si consiglia sempre di convalidare i risultati in modo indipendente e di non fare affidamento esclusivamente sullo strumento per decisioni critiche.
• Report HTML: i report HTML generati non implementano meccanismi di protezione contro il cross-site scripting (XSS).

📦 Strumenti esterni integrati

I seguenti sottomoduli sono stati forkati e integrati in EntraFalcon per supportare l'autenticazione, l'interazione con Microsoft Graph e i grafici dei report:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js