EntraFalcon

EntraFalconは、ペネトレーションテスター、セキュリティアナリスト、システム管理者がMicrosoft Entra ID環境のセキュリティ態勢を評価するためのPowerShellベースの評価ツールです。

使いやすさを重視して設計されたEntraFalconは、PowerShell 5.1および7で動作し、WindowsとLinuxの両方をサポートし、追加のPowerShellモジュール、追加インストール、Microsoft Graph APIの同意は不要です。

このツールは、特権オブジェクト、潜在的にリスクのある割り当て、および見落とされがちなConditional Accessの設定ミスを発見するのに役立ちます。例:

• 高特権グループまたはアプリケーションを制御できるユーザー
• 過剰な権限を持つ外部または内部のエンタープライズアプリケーション（例: Microsoft Graph API、Azureロール）
• リソースに直接Azure IAMロールの割り当てがあるユーザー
• オンプレミスから同期された特権アカウント
• 非アクティブなユーザーまたはMFA機能のないユーザー
• 機密性の高い割り当て（例: Conditional Accessの除外、サブスクリプション所有者、特権グループの対象メンバー）で使用される保護されていないグループ

調査結果は、効率的な探索と分析をサポートするインタラクティブなHTMLレポートで提示されます。

🚀 機能

• PowerShell 5.1および7と互換性のあるシンプルなPowerShellスクリプト。WindowsとLinuxで動作
• 複数の認証方法をサポートする組み込み認証
• 事前同意済みスコープを持つファーストパーティMicrosoftアプリケーションを使用して、Graph APIの同意プロンプトを回避
• フィルタリング、並べ替え、データエクスポートなどをサポートするナビゲート可能なHTMLレポートを生成
• 90を超える自動チェックを実行し、その結果をSecurity Findings Reportに要約
  • 脆弱なテナント構成とリスクのあるオブジェクトプロパティまたは権限のチェックを含む
  • 重大度評価、問題の説明、潜在的な脅威、および修復ガイダンスを提供
  • 影響を受けるオブジェクトを一覧表示し、詳細な調査のための詳細レポートへの直接リンクを提供
• 基本的な影響、可能性、リスクのスコアリングを実行して、保護が不十分な高特権オブジェクトを強調し、データを並べ替える
• リスクのある構成と昇格された特権に関する警告を表示
• Entra IDオブジェクトを列挙:
  • ユーザー（Agent Usersを含む）
  • グループ
  • エンタープライズアプリケーション
  • アプリ登録
  • マネージドID
  • エージェントID
  • エージェントIDブループリントプリンシパル
  • エージェントIDブループリント
  • PIM割り当て:
    • EntraロールのPIM
    • グループのPIM
    • AzureロールのPIM
  • Entraロールの割り当て
  • Azureロールの割り当て
  • Intune RBACの割り当て
  • アクセスパッケージ
  • Entitlement Managementカタログ
  • カタログRBAC
  • Conditional Accessポリシー
  • 管理単位
  • PIM設定:
    • EntraロールのPIM
    • グループのPIM（BroCi認証のみ）

✅ 要件

さらに、ツールを実行するデバイスからMicrosoft Graph API、およびオプションでAzure ARM APIに認証できる必要があります。 Conditional Accessポリシーが認証をブロックしないことを確認してください。

▶️ 使用方法

EntraFalconのダウンロード

開始するには、リポジトリをクローンし、プロジェクトディレクトリに移動します:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

注: スクリプトを実行するには、PowerShellの実行ポリシーを一時的に変更する必要がある場合があります。
これは信頼できるスクリプトに対してのみ行ってください!```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

EntraFalcon の実行

EntraFalcon には Entra ID 認証の組み込みサポートが含まれています。-AuthFlow を使用して認証フローを選択します。

通常の評価では、フルカバレッジのフローのいずれかを使用します。

BroCi は対話型ログインを 1 回使用します。BroCiToken と ServicePrincipal は対話型ログインを使用しません。フォールバックのユーザーフローでは、リソーストークンが個別に要求されるため、複数回の対話型ログインが必要になる場合があります。

推奨: BroCi フロー（デフォルト / Windows のみ）

BroCi は代替のファーストパーティアプリケーションを使用し、対話型サインインは 1 回のみ必要です。
Azure Active Directory PowerShell クライアントに割り当てが必要で、それを回避する必要がある場合に役立ちます。```powershell .\run_EntraFalcon.ps1

明示的なBroCi選択:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

推奨: BroCi + 手動コードフロー```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. スクリプトが認証URLをクリップボードにコピーします。
2. URLをブラウザに貼り付けます（SSOサポートのため別のデバイスでも可能）。
3. ブラウザの開発者ツールを開き、Networkタブで`Preserve log`を有効にします。
4. 認証を完了します。
5. ネットワークログで`code=1.`を検索し、コードを含むリクエストURLをクリップボードにコピーします。
6. Enterを押して続行します。スクリプトがクリップボードからコードを読み取り、トークン取得を完了します。


#### 推奨: BroCiとトークン
有効なAzure Portalリフレッシュトークンがすでに利用可能な場合（クライアントc44b4083-3bb0-49c1-b47d-974e53cbdf3c）、それを直接使用できます。
例: ブラウザからリフレッシュトークンを取得する
1. ブラウザの開発者ツールを開き、NetworkタブでPreserve logを有効にします。
2. https://entra.microsoft.com で認証します。
3. ネットワークログで`brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c`を検索し、レスポンスからリフレッシュトークンを抽出します。```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

推奨: サービスプリンシパル

OAuth2クライアント資格情報付与を使用して登録済みアプリケーションとして認証します。ユーザー操作は不要です。 繰り返しの自動実行に便利です。
ApplicationタイプのGraph API権限を持つカスタムEntraアプリ登録が必要です（下記参照）。

クライアントシークレットを使用する場合:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

**PFX証明書を使用する場合:**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePath "C:\certs\app.pfx"

パスワード保護されたPFXの場合、-SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString) を追加します。

PEM証明書 + 秘密鍵を使用する場合（PowerShell 7+のみ）：```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

暗号化された秘密キーの場合は、`-SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString)` を追加します。

##### 必要なアプリ登録のアクセス許可
アプリ登録で以下の**アプリケーション**アクセス許可（委任ではなく）を付与し、管理者の同意を行います：

| アクセス許可 | 種類 |
|---|---|
| `AdministrativeUnit.Read.All` | アプリケーション |
| `AgentIdentity.Read.All` | アプリケーション |
| `AgentIdentityBlueprint.Read.All` | アプリケーション |
| `AgentIdentityBlueprintPrincipal.Read.All` | アプリケーション |
| `Application.Read.All` | アプリケーション |
| `AuditLog.Read.All` | アプリケーション |
| `Device.Read.All` | アプリケーション |
| `EntitlementManagement.Read.All` | アプリケーション |
| `Group.Read.All` | アプリケーション |
| `Organization.Read.All` | アプリケーション |
| `Policy.Read.All` | アプリケーション |
| `PrivilegedAccess.Read.AzureADGroup` | アプリケーション |
| `RoleManagement.Read.Directory` | アプリケーション |
| `RoleManagementPolicy.Read.AzureADGroup` | アプリケーション |
| `User.Read.All` | アプリケーション |
| `DeviceManagementRBAC.Read.All` | アプリケーション |

さらに、ルート管理グループ（または関連するすべてのサブスクリプション）に**Azure Reader**ロールを割り当て、必要に応じてEntra IDのサービスプリンシパルに**Global Reader**ロールを割り当てます（ユーザーごとのMFAステータスに必要）。

#### フォールバック: 認証コードフロー（Windowsのみ）```powershell
.\run_EntraFalcon.ps1 -AuthFlow AuthCode

フォールバック: デバイスコードフロー

これは、堅牢化された環境では条件付きアクセスによって制限されることがよくあります。
DeviceCode を使用すると、2つのセキュリティ検出チェックが低い深さで実行されます（CAP-004 および CAP-005）。```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

#### フォールバック: 認証コード + 手動コードフロー```powershell
.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. スクリプトが認証URLをクリップボードにコピーします。
2. URLをブラウザに貼り付けます（SSOサポートのため別のデバイスでも可能）。
3. 認証を完了します。
4. ブラウザのアドレスバーから最終的なリダイレクトURL（認可コードを含む）をコピーしてクリップボードに貼り付けます。
5. Enterキーを押して続行します。スクリプトがクリップボードからコードを読み取り、トークン取得を完了します。

その他のパラメータ

Microsoft所有のエンタープライズアプリを含める

デフォルトでは、公式のMicrosoftエンタープライズアプリケーションはノイズを減らすために評価から除外されます。列挙と分析にこれらを含めるには、-IncludeMsAppsスイッチを使用します：```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### グループ向けPIM評価をスキップ
`-SkipPimForGroups` スイッチを使用すると、グループ向けPIMの事前収集とエンリッチメントをスキップします。  
これにより、スタンドアロンの `PIM for Groups` 設定レポートもスキップされます。```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

その他のオプションパラメータ

📊 サンプルレポートの例

セキュリティ検出結果レポート

ユーザー

ユーザー（詳細セクション）

Entra IDロール

Azureロール

エンタープライズアプリケーション（詳細セクション）

条件付きアクセスポリシー

条件付きアクセスポリシー（詳細セクション）

PIMロール設定（Entra）

エージェントID

列挙サマリー

📑 HTMLレポート

一般

• ⚙️ 列 ボタンをクリックして、特定の列を表示または非表示にします。
• 💾 エクスポート をクリックして、現在表示されているデータのCSV/JSONをダウンロードするか、CSV/TSV/JSONをコピーします。
• 👁 ビューを共有 をクリックして、フィルター、並べ替え、列の選択を共有可能なリンクとしてコピーします。
• 🧰 プリセットビュー をクリックして、事前設定されたフィルターと列の選択を適用します。
• 🔄 ビューをリセット をクリックして、ビューをデフォルトにリセットします。
• オブジェクト名をクリックすると、他のレポートでも詳細情報にジャンプできます。
• 内部ナビゲーションを使用する場合、ブラウザの戻るボタンを押すと戻ります。
• 一部のテーブルヘッダーフィールドには、マウスホバー時にヘルパーテキストが表示されます。
• テーブルヘッダーをクリックしてデータを並べ替えます。
• メインテーブルの列ヘッダーをAlt+クリックすると、その列をすばやく非表示にできます。
• メインテーブルのコンテンツ行をAlt+クリックすると、一時的に非表示にできます。非表示行チップまたはビューのリセットを使用して、非表示の行を再度表示します。

フィルタリング

• 演算子が指定されていない場合、フィルタリングはデフォルトで contains（含む）になります。
• 完全一致には = を使用します。
• starts with（〜で始まる）には ^ を使用します（例: ^Mallory）。
• ends with（〜で終わる）には $ を使用します（例: $domain.ch）。
• >、<、>=、<= などの比較演算子がサポートされています（数値のみ）。
• フィルターは ! で始めることで否定できます（数値比較を除く）。例: !Mallory、!=Mallory、!^Mallory、!$domain.ch。
• 空のセルに一致させるには =empty を、空でないセルに一致させるには !=empty を使用します。
• 同じ列で複数の値のいずれかに一致させるには || を使用します（例: Admin || Guest）。
• 同じ列で複数の一致を要求するには && を使用します（例: !adm && !svc && !sql）。
• 列をまたいでORロジックを適用するには、フィルターフィールドに直接 or_、group1_、group2_... を使用します。例: 列1に or_>1、列2に or_!Mallory。
• 注: DisplayName 列にはオブジェクトのID（非表示）も含まれるため、IDによるフィルタリングも可能です。

GETパラメータを使用したコントロール

• フィルタリング: フィールド名をHTTP GETパラメータとして使用してフィルターを適用します。例: ?EntraRoles=>1&Enabled=true。
  列をまたいでORロジックを適用するには、or_ または group1_ プレフィックスを使用します（例: ?or_EntraRoles=>0&or_GrpMem=>0）。
• 列の選択: columns パラメータを使用して表示する列を選択します。例: ?columns=DisplayName,Owner。
• 並べ替え: sort と sortDir パラメータを使用してデータを並べ替えます。例: ?sort=Impact&sortDir=desc または ?sort=OwnerCount&sortDir=asc。
• オブジェクトの詳細: アンカー（#）とオブジェクトIDを使用して、レポート内の特定のオブジェクトに直接ジャンプします。例: #%ObjectID%。

評価

• 影響度: オブジェクトが持つ権限の量または重大度を表します。
• 可能性: オブジェクトがどの程度簡単に影響を受け得るか、またはどの程度保護されているかを表します。
• リスク: 計算されたスコア: 影響度 × 可能性 = リスク。
• 重要:
  • このスコアリングは、テーブル内のエントリの並べ替えと優先順位付けを支援するための基本的な評価として意図されています。
  • リスクスコアは、異なるオブジェクトタイプやレポート間で直接比較することはできません。
  • 完全なリスク評価の代わりになることを意図したものではありません。

🔧内部の仕組み

ロールの分類

Entra IDロールとAzureロールは、おおよそ異なる階層レベルに分類されます。この分類は、それらのロールが割り当てられたオブジェクトの影響度スコアに影響を与えます。 目標は、Microsoftが特権ロールと見なす場合でも、重要性の低いロール（例: 全体閲覧者）を持つユーザーと比較して、より強力なロール（例: 全体管理者）を持つユーザーに高い影響度スコアを割り当てることです。

注: Azureロールの場合、実際の影響はロール割り当てのスコープに大きく依存するため、この分類はあまり正確ではありません。たとえば、単一の仮想マシンに対するOwnerロールは、同じロールがサブスクリプション全体に適用された場合よりも影響が大幅に小さくなります。また、リソースがまったくないテストサブスクリプションの場合もあります。

API権限の分類

特定のAPI権限により、アプリケーションが全体管理者権限に直接昇格できる場合があります。そのため、いくつかのAPI権限は異なる重大度レベルに分類されます。この分類は、これらの権限が割り当てられたアプリケーション（アプリケーション権限またはユーザーへの委任権限として）の影響度スコアに影響を与えます。

Microsoft ファーストパーティのエンタープライズアプリケーション

既定では、エンタープライズアプリケーションのレビューを簡素化するために、Microsoft アプリケーションは除外されます。それらを含めるには、-IncludeMsApps スイッチを使用します。次のテナントのアプリケーションは、Microsoft 所有として扱われます。

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

実行されるチェック

次の表は、実行されるチェックと、スコアリングへの影響および警告が表示されるかどうかを大まかにまとめたものです。

🛡️ 検出

EntraFalconはステルス性を備えておらず、Microsoft Graph APIとAzureサインインアクティビティがログ記録・監視されている環境では検出される可能性があります。

使用されるデフォルト認証

非BroCiフローで完全な列挙を実行する場合、このツールは通常、4回の対話型ログインと1回の非対話型ログインを開始します。フローとエンドポイントのサポートに応じて、Security Findingsポリシーエンドポイントに対して追加の対話型サインインが1回発生する場合があります。

使用されるBroCi認証

BroCi認証を使用する場合、対話型ログインは1回のみ発生します。

BroCiが有効な場合、EntraFalconはPIM for Groupsのためにapi.azrbac.mspim.azure.comにもクエリを実行します。

詳細

データ収集のため、このツールはMicrosoft Graph APIおよびオプションでAzure ARM APIに複数のリクエストを送信します（オブジェクトごとに1つ以上）。可能な場合は、Graph Batchエンドポイントを活用して個々のリクエスト数を減らし、効率を向上させます。

対話型サインインはブラウザのUser-Agentを使用します。すべての非対話型サインインおよびAPIリクエスト（GraphおよびARM）は、-UserAgentパラメータで変更されない限り、User-AgentとしてEntraFalconを使用します。

EntraFalconの使用を検出するために、ブルーチームはサインインログでリストされたアプリケーションIDを監視し、異常な量のGraph APIトラフィックを探し、トークン更新およびバッチリクエストの動作を分析できます。

🕳️ 既知の制限事項

• M365 RBAC: 評価対象外
• Defender for Endpoint RBAC: 評価対象外
• Conditional Accessユーザーカバレッジ: 有効なユーザーカバレッジと-ExportCapUncoveredUsersは、列挙されたユーザー、グループメンバー、ロール割り当て、および解決可能な外部ユーザーカテゴリに基づくベストエフォート計算です。外部ユーザーセレクターは、b2bCollaborationGuestに一致するテナントゲストユーザーに対してのみ解決されます。他の外部ユーザータイプまたは外部テナントが指定された外部ユーザーは、カバレッジ値を近似値にする可能性があります。対象となるPIMパスは潜在的なカバレッジとして報告され、現在カバーされているとはカウントされません。CSVエクスポートは有効なポリシーと有効なユーザーに限定されます。
• クラウド環境: クラウドプラットフォームは急速に進化します。その結果、一部の評価や検出は時間の経過とともに古くなったり不正確になったりする可能性があります。さらに、テナントはますます複雑になっており、特定の構成や設定の組み合わせにより不正確な結果が生じる可能性があります。EntraFalconを最新の状態に保つよう努めていますが、重要な決定のためにツールのみに依存せず、常に調査結果を独立して検証することをお勧めします。
• HTMLレポート: 生成されたHTMLレポートには、クロスサイトスクリプティング（XSS）に対する保護メカニズムは実装されていません。

📦 統合された外部ツール

以下のサブモジュールはフォークされ、認証、Microsoft Graphとの対話、レポートチャートをサポートするためにEntraFalconに統合されています：

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js