✅ 要件

さらに、ツールを実行するデバイスからMicrosoft Graph API、およびオプションでAzure ARM APIに認証できる必要があります。 Conditional Accessポリシーが認証をブロックしないことを確認してください。

▶️ 使用方法

EntraFalconのダウンロード

開始するには、リポジトリをクローンし、プロジェクトディレクトリに移動します:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

EntraFalcon の実行

EntraFalcon には Entra ID 認証の組み込みサポートが含まれています。-AuthFlow を使用して認証フローを選択します。

通常の評価では、フルカバレッジのフローのいずれかを使用します。

BroCi は対話型ログインを 1 回使用します。BroCiToken と ServicePrincipal は対話型ログインを使用しません。フォールバックのユーザーフローでは、リソーストークンが個別に要求されるため、複数回の対話型ログインが必要になる場合があります。

推奨: BroCi フロー（デフォルト / Windows のみ）

BroCi は代替のファーストパーティアプリケーションを使用し、対話型サインインは 1 回のみ必要です。
Azure Active Directory PowerShell クライアントに割り当てが必要で、それを回避する必要がある場合に役立ちます。```powershell .\run_EntraFalcon.ps1

推奨: BroCi + 手動コードフロー```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

推奨: サービスプリンシパル

OAuth2クライアント資格情報付与を使用して登録済みアプリケーションとして認証します。ユーザー操作は不要です。 繰り返しの自動実行に便利です。
ApplicationタイプのGraph API権限を持つカスタムEntraアプリ登録が必要です（下記参照）。

クライアントシークレットを使用する場合:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

パスワード保護されたPFXの場合、-SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString) を追加します。

PEM証明書 + 秘密鍵を使用する場合（PowerShell 7+のみ）：```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

フォールバック: デバイスコードフロー

これは、堅牢化された環境では条件付きアクセスによって制限されることがよくあります。
DeviceCode を使用すると、2つのセキュリティ検出チェックが低い深さで実行されます（CAP-004 および CAP-005）。```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

1. スクリプトが認証URLをクリップボードにコピーします。
2. URLをブラウザに貼り付けます（SSOサポートのため別のデバイスでも可能）。
3. 認証を完了します。
4. ブラウザのアドレスバーから最終的なリダイレクトURL（認可コードを含む）をコピーしてクリップボードに貼り付けます。
5. Enterキーを押して続行します。スクリプトがクリップボードからコードを読み取り、トークン取得を完了します。

その他のパラメータ

Microsoft所有のエンタープライズアプリを含める

デフォルトでは、公式のMicrosoftエンタープライズアプリケーションはノイズを減らすために評価から除外されます。列挙と分析にこれらを含めるには、-IncludeMsAppsスイッチを使用します：```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

その他のオプションパラメータ

📊 サンプルレポートの例

セキュリティ検出結果レポート

ユーザー

ユーザー（詳細セクション）

Entra IDロール

Azureロール

エンタープライズアプリケーション（詳細セクション）

条件付きアクセスポリシー

条件付きアクセスポリシー（詳細セクション）

PIMロール設定（Entra）

エージェントID

列挙サマリー

📑 HTMLレポート

一般

• ⚙️ 列 ボタンをクリックして、特定の列を表示または非表示にします。
• 💾 エクスポート をクリックして、現在表示されているデータのCSV/JSONをダウンロードするか、CSV/TSV/JSONをコピーします。
• 👁 ビューを共有 をクリックして、フィルター、並べ替え、列の選択を共有可能なリンクとしてコピーします。
• 🧰 プリセットビュー をクリックして、事前設定されたフィルターと列の選択を適用します。
• 🔄 ビューをリセット をクリックして、ビューをデフォルトにリセットします。
• オブジェクト名をクリックすると、他のレポートでも詳細情報にジャンプできます。
• 内部ナビゲーションを使用する場合、ブラウザの戻るボタンを押すと戻ります。
• 一部のテーブルヘッダーフィールドには、マウスホバー時にヘルパーテキストが表示されます。
• テーブルヘッダーをクリックしてデータを並べ替えます。
• メインテーブルの列ヘッダーをAlt+クリックすると、その列をすばやく非表示にできます。
• メインテーブルのコンテンツ行をAlt+クリックすると、一時的に非表示にできます。非表示行チップまたはビューのリセットを使用して、非表示の行を再度表示します。

フィルタリング

• 演算子が指定されていない場合、フィルタリングはデフォルトで contains（含む）になります。
• 完全一致には = を使用します。
• starts with（〜で始まる）には ^ を使用します（例: ^Mallory）。
• ends with（〜で終わる）には $ を使用します（例: $domain.ch）。
• >、<、>=、<= などの比較演算子がサポートされています（数値のみ）。
• フィルターは ! で始めることで否定できます（数値比較を除く）。例: !Mallory、!=Mallory、!^Mallory、!$domain.ch。
• 空のセルに一致させるには =empty を、空でないセルに一致させるには !=empty を使用します。
• 同じ列で複数の値のいずれかに一致させるには || を使用します（例: Admin || Guest）。
• 同じ列で複数の一致を要求するには && を使用します（例: !adm && !svc && !sql）。
• 列をまたいでORロジックを適用するには、フィルターフィールドに直接 or_、group1_、group2_... を使用します。例: 列1に or_>1、列2に or_!Mallory。
• 注: DisplayName 列にはオブジェクトのID（非表示）も含まれるため、IDによるフィルタリングも可能です。

GETパラメータを使用したコントロール

• フィルタリング: フィールド名をHTTP GETパラメータとして使用してフィルターを適用します。例: ?EntraRoles=>1&Enabled=true。
  列をまたいでORロジックを適用するには、or_ または group1_ プレフィックスを使用します（例: ?or_EntraRoles=>0&or_GrpMem=>0）。
• 列の選択: columns パラメータを使用して表示する列を選択します。例: ?columns=DisplayName,Owner。
• 並べ替え: sort と sortDir パラメータを使用してデータを並べ替えます。例: ?sort=Impact&sortDir=desc または ?sort=OwnerCount&sortDir=asc。
• オブジェクトの詳細: アンカー（#）とオブジェクトIDを使用して、レポート内の特定のオブジェクトに直接ジャンプします。例: #%ObjectID%。

評価

• 影響度: オブジェクトが持つ権限の量または重大度を表します。
• 可能性: オブジェクトがどの程度簡単に影響を受け得るか、またはどの程度保護されているかを表します。
• リスク: 計算されたスコア: 影響度 × 可能性 = リスク。
• 重要:
  • このスコアリングは、テーブル内のエントリの並べ替えと優先順位付けを支援するための基本的な評価として意図されています。
  • リスクスコアは、異なるオブジェクトタイプやレポート間で直接比較することはできません。
  • 完全なリスク評価の代わりになることを意図したものではありません。

🔧内部の仕組み

ロールの分類

Entra IDロールとAzureロールは、おおよそ異なる階層レベルに分類されます。この分類は、それらのロールが割り当てられたオブジェクトの影響度スコアに影響を与えます。 目標は、Microsoftが特権ロールと見なす場合でも、重要性の低いロール（例: 全体閲覧者）を持つユーザーと比較して、より強力なロール（例: 全体管理者）を持つユーザーに高い影響度スコアを割り当てることです。

注: Azureロールの場合、実際の影響はロール割り当てのスコープに大きく依存するため、この分類はあまり正確ではありません。たとえば、単一の仮想マシンに対するOwnerロールは、同じロールがサブスクリプション全体に適用された場合よりも影響が大幅に小さくなります。また、リソースがまったくないテストサブスクリプションの場合もあります。

API権限の分類

特定のAPI権限により、アプリケーションが全体管理者権限に直接昇格できる場合があります。そのため、いくつかのAPI権限は異なる重大度レベルに分類されます。この分類は、これらの権限が割り当てられたアプリケーション（アプリケーション権限またはユーザーへの委任権限として）の影響度スコアに影響を与えます。

Microsoft ファーストパーティのエンタープライズアプリケーション

既定では、エンタープライズアプリケーションのレビューを簡素化するために、Microsoft アプリケーションは除外されます。それらを含めるには、-IncludeMsApps スイッチを使用します。次のテナントのアプリケーションは、Microsoft 所有として扱われます。

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

実行されるチェック

次の表は、実行されるチェックと、スコアリングへの影響および警告が表示されるかどうかを大まかにまとめたものです。

🛡️ 検出

EntraFalconはステルス性を備えておらず、Microsoft Graph APIとAzureサインインアクティビティがログ記録・監視されている環境では検出される可能性があります。

使用されるデフォルト認証

非BroCiフローで完全な列挙を実行する場合、このツールは通常、4回の対話型ログインと1回の非対話型ログインを開始します。フローとエンドポイントのサポートに応じて、Security Findingsポリシーエンドポイントに対して追加の対話型サインインが1回発生する場合があります。

使用されるBroCi認証

BroCi認証を使用する場合、対話型ログインは1回のみ発生します。

BroCiが有効な場合、EntraFalconはPIM for Groupsのためにapi.azrbac.mspim.azure.comにもクエリを実行します。

詳細

データ収集のため、このツールはMicrosoft Graph APIおよびオプションでAzure ARM APIに複数のリクエストを送信します（オブジェクトごとに1つ以上）。可能な場合は、Graph Batchエンドポイントを活用して個々のリクエスト数を減らし、効率を向上させます。

対話型サインインはブラウザのUser-Agentを使用します。すべての非対話型サインインおよびAPIリクエスト（GraphおよびARM）は、-UserAgentパラメータで変更されない限り、User-AgentとしてEntraFalconを使用します。

EntraFalconの使用を検出するために、ブルーチームはサインインログでリストされたアプリケーションIDを監視し、異常な量のGraph APIトラフィックを探し、トークン更新およびバッチリクエストの動作を分析できます。

🕳️ 既知の制限事項

• M365 RBAC: 評価対象外
• Defender for Endpoint RBAC: 評価対象外
• Conditional Accessユーザーカバレッジ: 有効なユーザーカバレッジと-ExportCapUncoveredUsersは、列挙されたユーザー、グループメンバー、ロール割り当て、および解決可能な外部ユーザーカテゴリに基づくベストエフォート計算です。外部ユーザーセレクターは、b2bCollaborationGuestに一致するテナントゲストユーザーに対してのみ解決されます。他の外部ユーザータイプまたは外部テナントが指定された外部ユーザーは、カバレッジ値を近似値にする可能性があります。対象となるPIMパスは潜在的なカバレッジとして報告され、現在カバーされているとはカウントされません。CSVエクスポートは有効なポリシーと有効なユーザーに限定されます。
• クラウド環境: クラウドプラットフォームは急速に進化します。その結果、一部の評価や検出は時間の経過とともに古くなったり不正確になったりする可能性があります。さらに、テナントはますます複雑になっており、特定の構成や設定の組み合わせにより不正確な結果が生じる可能性があります。EntraFalconを最新の状態に保つよう努めていますが、重要な決定のためにツールのみに依存せず、常に調査結果を独立して検証することをお勧めします。
• HTMLレポート: 生成されたHTMLレポートには、クロスサイトスクリプティング（XSS）に対する保護メカニズムは実装されていません。

📦 統合された外部ツール

以下のサブモジュールはフォークされ、認証、Microsoft Graphとの対話、レポートチャートをサポートするためにEntraFalconに統合されています：

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js