EntraFalcon

EntraFalcon は、ペネトレーションテスター、セキュリティアナリスト、システム管理者向けに、Microsoft Entra ID 環境のセキュリティ態勢を評価するための PowerShell ベースの評価ツールです。

使いやすさを重視して設計された EntraFalcon は、PowerShell 5.1 および 7 で動作し、Windows と Linux の両方をサポートし、追加の PowerShell モジュールやインストール、Microsoft Graph API の同意は不要です。

このツールは、見落とされがちな特権オブジェクト、潜在的にリスクのある割り当て、Conditional Access の誤構成を発見するのに役立ちます。例:

• 高特権グループまたはアプリケーションを制御できるユーザー
• 過剰なアクセス許可を持つ外部または内部のエンタープライズアプリケーション（例: Microsoft Graph API、Azure ロール）
• リソース上に直接 Azure IAM ロールの割り当てを持つユーザー
• オンプレミスから同期された特権アカウント
• 非アクティブなユーザー、または MFA 機能を持たないユーザー
• 機密性の高い割り当てで使用されている保護されていないグループ（例: Conditional Access の除外、サブスクリプション所有者、特権グループの有資格メンバー）

調査結果は、効率的な探索と分析をサポートするインタラクティブな HTML レポートで提示されます。

🚀 機能

• PowerShell 5.1 および 7 に対応したシンプルな PowerShell スクリプト。Windows と Linux で動作します
• 複数の方法に対応した組み込み認証
• 事前同意済みスコープを持つファーストパーティ Microsoft アプリケーションを使用して、Graph API の同意プロンプトを回避します
• フィルタリング、並べ替え、データエクスポートなどをサポートするナビゲート可能な HTML レポートを生成します
• 80 超の自動チェックを実行し、その結果を Security Findings レポートに要約します
  • 脆弱なテナント構成やリスクのあるオブジェクトのプロパティ/アクセス許可に関するチェックを含みます
  • 問題の説明、潜在的な脅威、および修復ガイダンスに加えて、重大度評価を提供します
  • 影響を受けるオブジェクトを一覧表示し、詳細な調査のために詳細レポートへの直接リンクを提供します
• 基本的な影響、可能性、およびリスクのスコアリングを実行して、保護が弱い高特権オブジェクトを強調し、データを並べ替えます
• リスクのある構成や昇格された特権に関する警告を表示します
• 次のような Entra ID オブジェクトを列挙します:
  • ユーザー（エージェントユーザーを含む）
  • グループ
  • エンタープライズアプリケーション
  • アプリ登録
  • マネージド ID
  • エージェント ID（BETA）
  • エージェント ID ブループリントプリンシパル（BETA）
  • エージェント ID ブループリント（BETA）
  • PIM 割り当て:
    • PIM for Entra Roles
    • PIM for Entra Groups
    • PIM for Azure Roles
  • Entra ロールの割り当て
  • Azure ロールの割り当て
  • Conditional Access ポリシー
  • 管理単位
  • PIM 設定:
    • PIM for Entra Roles
    • PIM for Groups（BroCi 認証のみ）

✅ 要件

さらに、このツールを実行するデバイスから Microsoft Graph API、および必要に応じて Azure ARM API に認証できる必要があります。 Conditional Access ポリシーが認証をブロックしないようにしてください。

▶️ 使用方法

EntraFalcon のダウンロード

開始するには、リポジトリをクローンし、プロジェクト ディレクトリに移動します:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

注：スクリプトを実行するには、PowerShellの実行ポリシーを一時的に変更する必要がある場合があります。
これは信頼できるスクリプトに対してのみ行ってください！```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

EntraFalcon を実行する

EntraFalcon には Entra ID 認証の組み込みサポートが含まれています。
さまざまな環境や制約に対応するために、複数の認証フローが用意されています。
選択したフローによっては、複数回の対話型認証が必要になります。

認証フローの選択には -AuthFlow を使用します。

BroCi フローを使用する (既定 / Windows のみ)

BroCi は代替ファーストパーティアプリケーションを使用し、対話型サインインは 1 回だけで済みます。
さらに、Azure Active Directory PowerShell クライアントに割り当てが必要であり、それを回避したい場合に役立ちます。```powershell .\run_EntraFalcon.ps1

明示的なBroCi選択:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

認可コードフロー (Windows のみ)```powershell

.\run_EntraFalcon.ps1 -AuthFlow AuthCode

#### デバイスコードフロー
堅牢化された環境では、条件付きアクセスによって制限されることがよくあります。  
`DeviceCode` を使用すると、2つのセキュリティ検出チェックが縮小された深度で実行されます（`CAP-004` および `CAP-005`）。```powershell
.\run_EntraFalcon.ps1 -AuthFlow DeviceCode

認証コード + 手動コードフロー認証の使用```powershell

.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. スクリプトは認証URLをクリップボードにコピーします。
2. URLをブラウザに貼り付けます（SSO対応のため、別のデバイスでも可能です）。
3. 認証を完了します。
4. ブラウザのアドレスバーから最終的なリダイレクトURL（認証コードを含む）をクリップボードにコピーします。
5. Enterキーを押して続行します。スクリプトはクリップボードからコードを読み取り、トークンの取得を完了します。


#### BroCi + 手動コードフロー```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. スクリプトは認証URLをクリップボードにコピーします。
2. URLをブラウザに貼り付けます（SSO対応のため、別のデバイスでも可能です）。
3. ブラウザの開発者ツールを開き、NetworkタブでPreserve logを有効にします。
4. 認証を完了します。
5. ネットワークログでcode=1.を検索し、コードを含むリクエストURLをクリップボードにコピーします。
6. Enterキーを押して続行します。スクリプトはクリップボードからコードを読み取り、トークン取得を完了します。

BroCi とトークン

有効なAzure Portalのリフレッシュトークンがすでに利用可能な場合（クライアント c44b4083-3bb0-49c1-b47d-974e53cbdf3c）、それを直接使用できます。 例：ブラウザからリフレッシュトークンを取得する

1. ブラウザの開発者ツールを開き、NetworkタブでPreserve logを有効にします。
2. https://entra.microsoft.com で認証します。
3. ネットワークログでbrk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3cを検索し、レスポンスからリフレッシュトークンを抽出します。```powershell .\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

#### サービス プリンシパル
登録済みアプリケーションとして、OAuth2 クライアント クレデンシャル グラントを使用して認証します。ユーザー操作は不要です。
自動実行に便利です。  
カスタム Entra アプリ登録が必要で、`Application` タイプの Graph API アクセス許可が必要です（下記参照）。

**クライアント シークレットを使用する場合:**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPClientSecret "<Secret>"

PFX証明書を使用する場合:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePath "C:\certs\app.pfx"

パスワードで保護されたPFXの場合は、`-SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString)` を追加します。

**PEM証明書と秘密鍵を使用する場合（PowerShell 7+のみ）：**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

暗号化された秘密鍵の場合は、-SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString) を追加します。

必要なアプリ登録のアクセス許可

アプリ登録に対して以下のApplicationアクセス許可（委任ではなく）を付与し、管理者の同意を行います：

さらに、ルート管理グループ（または関連するすべてのサブスクリプション）にAzure Readerロールを割り当て、オプションでEntra ID内のサービスプリンシパルにGlobal Readerロールを割り当てます（ユーザーごとのMFAステータスに必要）。

その他のパラメーター

Microsoft所有のエンタープライズアプリを含める

既定では、ノイズを減らすために、公式のMicrosoftエンタープライズアプリケーションは評価から除外されます。それらを列挙および分析に含めるには、-IncludeMsAppsスイッチを使用します：```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### PIM for Groups 評価をスキップ
`-SkipPimForGroups` スイッチを使用すると、PIM for Groups の事前収集とエンリッチメントをスキップできます。  
また、スタンドアロンの `PIM (Groups)` 設定レポートもスキップされます。```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

その他のオプションパラメータ

📊 レポートの例

セキュリティ検出レポート

ユーザー

ユーザー（詳細セクション）

Entra ID ロール

Azure ロール

エンタープライズアプリケーション（詳細セクション）

Conditional Access ポリシー

Conditional Access ポリシー（詳細セクション）

PIM ロール設定（Entra）

エージェント ID

列挙サマリー

📑 HTML レポート

一般

• ⚙️ 列 ボタンをクリックすると、特定の列を表示/非表示にできます。
• 💾 CSVエクスポート をクリックすると、現在表示されているデータをCSVファイルとしてダウンロードできます。
• 👁 ビューの共有 をクリックすると、フィルター、並べ替え、列選択を共有可能なリンクとしてコピーできます。
• 🧰 プリセットビュー をクリックすると、事前構成されたフィルターと列選択を適用できます。
• 🔄 ビューのリセット をクリックすると、ビューをデフォルトにリセットできます。
• オブジェクト名をクリックすると、他のレポートでも詳細情報にジャンプできます。
• 内部ナビゲーションを使用している場合、ブラウザの戻るボタンを押して戻ります。
• 一部のテーブルヘッダーフィールドでは、マウスホバーでヘルパーテキストが表示されます。
• テーブルヘッダーをクリックしてデータを並べ替えます。

フィルタリング

• 演算子が指定されていない場合、フィルタリングはデフォルトで contains（部分一致）になります。
• 完全一致には = を使用します。
• 前方一致 には ^ を使用します（例: ^Mallory）。
• 後方一致 には $ を使用します（例: $domain.ch）。
• >、<、>=、<= のような比較演算子がサポートされています（数値のみ）。
• フィルターは ! で始めることで否定できます（数値比較を除く）。例: !Mallory、!=Mallory、!^Mallory、!$domain.ch。
• 空のセルに一致させるには =empty、空でないセルに一致させるには を使用します。

GETパラメータを使った操作

• フィルタリング: フィールド名をHTTP GETパラメータとして使用してフィルターを適用します（例: ?EntraRoles=>1&Enabled=true）。列をまたいでORロジックを適用するには、or_ または group1_ プレフィックスを使用します（例: ?or_EntraRoles=>0&or_GrpMem=>0）。
• 列の選択: columns パラメータを使用して表示する列を選択します。例: ?columns=DisplayName,Owner。
• 並べ替え: sort および sortDir パラメータを使用してデータを並べ替えます。例: ?sort=Impact&sortDir=desc または ?sort=OwnerCount&sortDir=asc。
• オブジェクト詳細: アンカー（#）とオブジェクトIDを使用して、レポート内の特定のオブジェクトに直接ジャンプします（例: #%ObjectID%）。

評価

• 影響度（Impact）: オブジェクトが持つ権限の量または重大度を表します。
• 可能性（Likelihood）: オブジェクトがどの程度容易に影響を受け得るか、またはどの程度保護されているかを表します。
• リスク（Risk）: 計算スコア: 影響度 × 可能性 = リスク。
• 重要:
  • このスコアリングは、テーブル内のエントリを並べ替え、優先順位を付けるための基本的な評価を目的としています。
  • リスクスコアは、異なるオブジェクトタイプやレポート間で直接比較できるものではありません。
  • 完全なリスク評価を置き換えることを意図したものではありません。

🔧内部の仕組み

ロールの分類

Entra ID ロールと Azure ロールは、おおよそ異なるティアレベルに分類されます。この分類は、これらのロールが割り当てられたオブジェクトの影響度スコアに影響します。目標は、Microsoft によって特権ロールと見なされる場合でも、重要度の低いロール（例: Global Reader）を持つユーザーと比較して、より強力なロール（例: Global Administrator）を持つユーザーに高い影響度スコアを割り当てることです。

注: Azureロールの場合、この分類はそれほど正確ではありません。実際の影響はロール割り当てのスコープに大きく依存するためです。たとえば、単一の仮想マシン上のOwnerロールは、同じロールがサブスクリプション全体に適用された場合よりも影響が大幅に小さくなります。また、リソースがまったくないテストサブスクリプションである可能性もあります。

API アクセス許可の分類

特定のAPIアクセス許可により、アプリケーションはGlobal Administrator権限に直接昇格できます。そのため、いくつかのAPIアクセス許可は異なる重大度レベルに分類されます。この分類は、これらのアクセス許可が割り当てられているアプリケーション（アプリケーションアクセス許可またはユーザーへの委任アクセス許可として）の影響度スコアに影響します。

Microsoft ファーストパーティのエンタープライズ アプリケーション

既定では、エンタープライズ アプリケーションのレビューを簡素化するため、Microsoft アプリケーションは除外されています。これらを含めるには、-IncludeMsApps スイッチを使用してください。次のテナントのアプリケーションは、Microsoft が所有するものとして扱われます。

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

実行されるチェック

次の表は、実行されるチェックと、スコアリングへの影響および警告が表示されるかどうかを大まかにまとめたものです。

🛡️ 検出

EntraFalconはステルス性を備えておらず、Microsoft Graph APIとAzureのサインインアクティビティがログ記録・監視されている環境では検出される可能性があります。

既定の認証

非BroCiフローで完全な列挙を実行する場合、このツールは通常、4回の対話型ログインと1回の非対話型ログインを開始します。フローとエンドポイントのサポートによっては、Security Findingsポリシーエンドポイントに対して追加の対話型サインインが1回発生する場合があります。

BroCi認証を使用する場合

BroCi認証を使用する場合、対話型ログインは1回のみ発生します。

BroCiが有効な場合、EntraFalconはPIM for Groupsのために api.azrbac.mspim.azure.com にもクエリを実行します。

詳細

データ収集のため、このツールはMicrosoft Graph APIと、オプションでAzure ARM APIに対して、オブジェクトごとに1つ以上の複数リクエストを送信します。可能な場合は、個々のリクエスト数を減らして効率を向上させるために、Graph Batchエンドポイントを利用します。

対話型サインインはブラウザのUser-Agentを使用します。すべての非対話型サインインとAPIリクエスト（GraphおよびARM）は、-UserAgentパラメータで変更しない限り、EntraFalconをUser-Agentとして使用します。

EntraFalconの使用を検出するために、ブルーチームはサインインログで記載されたアプリケーションIDを監視したり、Graph APIトラフィックの異常な量を確認したり、トークン更新やバッチリクエストの動作を分析したりできます。

🕳️ 既知の制限

• M365 RBAC: 未評価
• Defender for Endpoint RBAC: 未評価
• Intune RBAC: 未評価
• Conditional Accessユーザーカバレッジ: 実効ユーザーカバレッジと -ExportCapUncoveredUsers は、列挙されたユーザー、グループメンバー、ロール割り当て、および解決可能な外部ユーザーカテゴリに基づくベストエフォートの計算です。外部ユーザーセレクターは、b2bCollaborationGuest に一致するテナントゲストユーザーのみに対して解決されます。その他の外部ユーザータイプ、または特定の外部テナントを持つ外部ユーザーにより、カバレッジ値が概算になる場合があります。対象（Eligible）のPIMパスは潜在的なカバレッジとして報告され、現在カバーされているとは見なされません。CSVエクスポートは、有効なポリシーと有効なユーザーに限定されます。
• クラウド環境: クラウドプラットフォームは急速に進化します。そのため、一部の評価や検出は時間の経過とともに古くなったり不正確になったりする可能性があります。さらに、テナントはますます複雑になっており、特定の構成や設定の組み合わせにより不正確な結果が生じる可能性があります。EntraFalconを最新の状態に保つよう努めていますが、重要な判断を下す際には、常に調査結果を独立して検証し、ツールだけに依存しないことをお勧めします。
• HTMLレポート: 生成されたHTMLレポートには、クロスサイトスクリプティング（XSS）に対する保護メカニズムは実装されていません。

📦 統合外部ツール

以下のサブモジュールは、認証、Microsoft Graphとの連携、およびレポートチャートをサポートするために、フォークされてEntraFalconに統合されています。

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js