EntraFalcon

EntraFalcon은 침투 테스터, 보안 분석가, 시스템 관리자를 위해 Microsoft Entra ID 환경의 보안 상태를 평가하는 PowerShell 기반 평가 도구입니다.

사용 편의성을 고려하여 설계된 EntraFalcon은 PowerShell 5.1 및 7에서 실행되며, Windows와 Linux를 모두 지원하고, 추가 PowerShell 모듈, 추가 설치, Microsoft Graph API 동의가 필요 없습니다.

이 도구는 종종 간과되는 권한 있는 개체, 잠재적으로 위험한 할당 및 조건부 액세스(CA) 잘못된 구성을 발견하는 데 도움을 줍니다. 예를 들면:

• 고권한 그룹 또는 애플리케이션을 제어할 수 있는 사용자
• 과도한 권한(예: Microsoft Graph API, Azure 역할)을 가진 외부 또는 내부 엔터프라이즈 애플리케이션
• 리소스에 직접 Azure IAM 역할 할당이 있는 사용자
• 온-프레미스에서 동기화된 권한 계정
• 비활성 사용자 또는 MFA 기능이 없는 사용자
• 중요한 할당(예: 조건부 액세스 제외, 구독 소유자 또는 권한 그룹의 적격 멤버)에 사용되는 보호되지 않은 그룹

결과는 효율적인 탐색과 분석을 지원하는 대화형 HTML 보고서로 제공됩니다.

🚀 기능

• PowerShell 5.1 및 7과 호환되는 간단한 PowerShell 스크립트. Windows 및 Linux에서 작동
• 여러 방법을 지원하는 내장 인증
• 사전 동의된 범위가 있는 자사 Microsoft 애플리케이션을 사용하여 Graph API 동의 프롬프트 우회
• 필터링, 정렬, 데이터 내보내기 등을 지원하는 탐색 가능한 HTML 보고서 생성
• 80개 이상의 자동화된 검사를 수행하고 결과를 보안 발견 보고서(Security Findings Report)로 요약
  • 취약한 테넌트 구성 및 위험한 개체 속성 또는 권한에 대한 검사 포함
  • 심각도 등급과 문제 설명, 잠재적 위협, 수정 지침 제공
  • 영향을 받는 개체를 나열하고 자세한 조사를 위해 해당 개체의 상세 보고서에 직접 연결
• 기본적인 영향, 가능성 및 위험 점수를 매겨 취약하게 보호된 고권한 개체를 강조하고 데이터 정렬
• 위험한 구성 및 상승된 권한에 대한 경고 표시
• Entra ID 개체 열거:
  • 사용자(Agent Users 포함)
  • 그룹
  • 엔터프라이즈 애플리케이션
  • 앱 등록
  • 관리 ID
  • 에이전트 ID(BETA)
  • 에이전트 ID 청사진 주체(BETA)
  • 에이전트 ID 청사진(BETA)
  • PIM 할당:
    • Entra 역할에 대한 PIM
    • Entra 그룹에 대한 PIM
    • Azure 역할에 대한 PIM
  • Entra 역할 할당
  • Azure 역할 할당
  • 조건부 액세스 정책
  • 관리 단위
  • PIM 설정:
    • Entra 역할에 대한 PIM
    • 그룹에 대한 PIM(BroCi 인증만 해당)

✅ 요구 사항

또한 도구를 실행하는 장치에서 Microsoft Graph API 및 선택적으로 Azure ARM API에 인증할 수 있어야 합니다. 조건부 액세스 정책이 인증을 차단하지 않는지 확인하세요.

▶️ 사용법

EntraFalcon 다운로드

시작하려면 리포지토리를 클론하고 프로젝트 디렉터리로 이동합니다.```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

참고: 스크립트를 실행하려면 일시적으로 PowerShell 실행 정책을 변경해야 할 수 있습니다.
신뢰할 수 있는 스크립트에 대해서만 이 작업을 수행하세요!```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

EntraFalcon 실행

EntraFalcon은 Entra ID 인증에 대한 기본 지원을 포함합니다.
다양한 환경과 제한 사항을 지원하기 위해 여러 인증 흐름을 사용할 수 있습니다.
선택한 흐름에 따라 여러 대화형 인증이 필요합니다.

인증 흐름을 선택하려면 -AuthFlow를 사용하세요.

BroCi 흐름 사용 (기본값 / Windows 전용)

BroCi는 대체 자사 애플리케이션을 사용하며 하나의 대화형 로그인만 필요합니다.
Azure Active Directory PowerShell 클라이언트가 할당을 요구하여 피해야 하는 경우에 더욱 유용합니다.```powershell .\run_EntraFalcon.ps1

명시적 BroCi 선택:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

인증 코드 흐름 (Windows 전용)```powershell

.\run_EntraFalcon.ps1 -AuthFlow AuthCode

#### Device Code Flow
이는 강화된 환경에서 Conditional Access에 의해 종종 제한됩니다.  
`DeviceCode`를 사용하면 두 가지 Security Findings 검사가 축소된 깊이로 실행됩니다(`CAP-004` 및 `CAP-005`).```powershell
.\run_EntraFalcon.ps1 -AuthFlow DeviceCode

인증 코드 + 수동 코드 흐름 인증 사용```powershell

.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. 스크립트가 인증 URL을 클립보드에 복사합니다.
2. URL을 브라우저에 붙여넣습니다 (SSO 지원을 위해 다른 장치에서 선택적으로 가능).
3. 인증을 완료합니다.
4. 브라우저 주소 표시줄에서 최종 리디렉션 URL(인증 코드 포함)을 클립보드에 복사합니다.
5. 계속하려면 Enter를 누르십시오. 스크립트가 클립보드에서 코드를 읽어 토큰 획득을 완료합니다.

#### BroCi + 수동 코드 흐름```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. 스크립트가 인증 URL을 클립보드에 복사합니다.
2. URL을 브라우저에 붙여넣습니다 (SSO 지원을 위해 다른 기기에서도 가능).
3. 브라우저 개발자 도구를 열고 네트워크 탭에서 Preserve log를 활성화합니다.
4. 인증을 완료합니다.
5. 네트워크 로그에서 code=1.을 검색하고 해당 코드가 포함된 요청 URL을 클립보드에 복사합니다.
6. Enter를 눌러 계속 진행합니다. 스크립트가 클립보드에서 코드를 읽어 토큰 획득을 완료합니다.

BroCi with Token

유효한 Azure Portal 갱신 토큰이 이미 사용 가능한 경우 (클라이언트 c44b4083-3bb0-49c1-b47d-974e53cbdf3c), 직접 사용할 수 있습니다. 예: 브라우저에서 갱신 토큰 얻기

1. 브라우저 개발자 도구를 열고 네트워크 탭에서 Preserve log를 활성화합니다.
2. https://entra.microsoft.com에서 인증합니다.
3. 네트워크 로그에서 brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c를 검색하고 응답에서 갱신 토큰을 추출합니다.```powershell .\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

#### Service Principal
OAuth2 클라이언트 자격 증명 그랜트를 사용하여 등록된 애플리케이션으로 인증합니다 — 사용자 상호 작용이 필요하지 않습니다.
자동화된 실행에 유용합니다.  
사용자 지정 Entra 앱 등록이 필요하며, `Application` 유형의 Graph API 권한이 필요합니다(아래 참조).

**클라이언트 시크릿 사용:**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPClientSecret "<Secret>"

PFX 인증서 사용 시:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePath "C:\certs\app.pfx"

비밀번호로 보호된 PFX의 경우 `-SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString)`를 추가합니다.

**PEM 인증서 + 개인 키 사용 (PowerShell 7+ 전용):**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

암호화된 개인 키의 경우 -SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString)를 추가합니다.

필수 앱 등록 권한

앱 등록에 다음 애플리케이션 권한(위임되지 않음)을 부여하고 관리자 동의를 수행합니다:

또한, 루트 관리 그룹(또는 모든 관련 구독)에 Azure Reader 역할을 할당하고, 선택적으로 Entra ID의 서비스 주체에 Global Reader 역할을 할당합니다(사용자별 MFA 상태 확인에 필요).

기타 매개 변수

Microsoft 소유 엔터프라이즈 앱 포함

기본적으로 공식 Microsoft 엔터프라이즈 애플리케이션은 노이즈를 줄이기 위해 평가에서 제외됩니다. 이를 열거 및 분석에 포함하려면 -IncludeMsApps 스위치를 사용합니다:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### 그룹 평가를 위한 PIM 건너뛰기
`-SkipPimForGroups` 스위치를 사용하여 PIM-for-Groups 사전 수집 및 보강을 건너뜁니다.  
또한 이는 독립 실행형 `PIM (Groups)` 설정 보고서도 건너뜁니다.```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

기타 선택적 매개 변수

📊 예제 보고서

보안 결과 보고서

사용자

사용자 (세부 정보 섹션)

Entra ID 역할

Azure 역할

엔터프라이즈 애플리케이션 (세부 정보 섹션)

조건부 액세스 정책

조건부 액세스 정책 (세부 정보 섹션)

PIM 역할 설정 (Entra)

에이전트 ID

열거 요약

📑 HTML 보고서

일반

• ⚙️ 열 버튼을 클릭하여 특정 열을 표시하거나 숨깁니다.
• 💾 CSV 내보내기를 클릭하여 현재 표시된 데이터를 CSV 파일로 다운로드합니다.
• 👁 보기 공유를 클릭하여 필터, 정렬 및 열 선택을 공유 가능한 링크로 복사합니다.
• 🧰 사전 설정 보기를 클릭하여 미리 구성된 필터 및 열 선택을 적용합니다.
• 🔄 보기 재설정을 클릭하여 보기를 기본값으로 재설정합니다.
• 개체 이름을 클릭하면 다른 보고서에서도 세부 정보로 이동할 수 있습니다.
• 내부 탐색을 사용할 때는 브라우저의 뒤로가기 버튼을 눌러 돌아갑니다.
• 일부 테이블 헤더 필드에는 마우스를 올리면 도움말 텍스트가 표시됩니다.
• 테이블 헤더를 클릭하여 데이터를 정렬합니다.

필터링

• 연산자를 지정하지 않으면 필터링은 기본적으로 포함으로 작동합니다.
• 정확히 일치하려면 =를 사용합니다.
• 시작 문자는 ^를 사용합니다(예: ^Mallory).
• 끝 문자는 $를 사용합니다(예: $domain.ch).
• 비교 연산자(>, <, >=, <=)는 숫자 값에만 지원됩니다.
• 필터는 !로 시작하여 부정할 수 있습니다(숫자 비교 제외). 예: !Mallory, !=Mallory, !^Mallory, !$domain.ch.
• 빈 셀을 일치시키려면 =empty를, 비어 있지 않은 셀을 일치시키려면 를 사용합니다.

GET 매개 변수를 사용한 제어

• 필터링: HTTP GET 매개 변수로 필드 이름을 사용하여 필터를 적용합니다(예: ?EntraRoles=>1&Enabled=true).
  열 간에 OR 논리를 적용하려면 or_ 또는 group1_ 접두사를 사용합니다(예: ?or_EntraRoles=>0&or_GrpMem=>0).
• 열 선택: columns 매개 변수를 사용하여 표시할 열을 선택합니다. 예: ?columns=DisplayName,Owner.
• 정렬: sort 및 sortDir 매개 변수를 사용하여 데이터를 정렬합니다. 예: ?sort=Impact&sortDir=desc 또는 ?sort=OwnerCount&sortDir=asc.
• 개체 세부 정보: 앵커(#)와 개체 ID를 사용하여 보고서의 특정 개체로 직접 이동합니다(예: #%ObjectID%).

평가

• 영향(Impact): 개체가 가진 권한의 양이나 심각도를 나타냅니다.
• 가능성(Likelihood): 개체가 얼마나 쉽게 영향을 받을 수 있는지 또는 얼마나 잘 보호되고 있는지를 나타냅니다.
• 위험(Risk): 계산된 점수: 영향 × 가능성 = 위험.
• 중요:
  • 이 점수는 테이블의 항목을 정렬하고 우선순위를 지정하는 데 도움이 되는 기본 평가를 의미합니다.
  • 위험 점수는 개체 유형이나 보고서가 다르면 직접 비교할 수 없습니다.
  • 완전한 위험 평가를 대체하기 위한 것이 아닙니다.

🔧내부 작동 방식

역할 분류

Entra ID 및 Azure 역할은 대략적으로 여러 계층 수준으로 분류됩니다. 이 분류는 해당 역할이 할당된 개체의 영향 점수에 영향을 줍니다. 목표는 덜 중요한 역할(예: 전역 읽기 권한자)을 가진 사용자보다 더 강력한 역할(예: 전역 관리자)을 가진 사용자에게 더 높은 영향 점수를 할당하는 것입니다. Microsoft가 두 역할을 모두 권한 있는 역할로 간주하더라도 마찬가지입니다.

참고: Azure 역할의 경우 이 분류는 덜 정확합니다. 실제 영향은 역할 할당 범위에 크게 좌우되기 때문입니다. 예를 들어, 단일 가상 머신에 대한 소유자 역할은 전체 구독에 동일한 역할이 적용될 때보다 영향이 훨씬 적습니다. 또한 리소스가 전혀 없는 테스트 구독일 수도 있습니다.

API 권한 분류

특정 API 권한을 사용하면 애플리케이션이 전역 관리자 권한으로 직접 에스컬레이션할 수 있습니다. 따라서 여러 API 권한은 다양한 심각도 수준으로 분류됩니다. 이 분류는 애플리케이션 권한 또는 사용자에 대한 위임된 권한으로 이러한 권한이 할당된 애플리케이션의 영향 점수에 영향을 줍니다.

Microsoft 자사 엔터프라이즈 애플리케이션

기본적으로 엔터프라이즈 애플리케이션 검토를 간소화하기 위해 Microsoft 애플리케이션은 필터링됩니다. 이를 포함하려면 -IncludeMsApps 스위치를 사용하세요. 다음 테넌트의 애플리케이션은 Microsoft 소유로 간주됩니다:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

수행된 검사

다음 표는 수행된 검사와 점수에 미치는 영향 및 경고 표시 여부를 대략적으로 요약합니다.

🛡️ 탐지

EntraFalcon은 은밀하지 않으며 Microsoft Graph API 및 Azure 로그인 활동이 기록되고 모니터링되는 환경에서 감지될 수 있습니다.

기본 인증 사용

BroCi 흐름 없이 전체 열거를 수행하면 일반적으로 4개의 대화형 로그인과 1개의 비대화형 로그인이 시작됩니다. 흐름 및 엔드포인트 지원에 따라 보안 결과 정책 엔드포인트에 대해 대화형 로그인이 하나 더 발생할 수 있습니다.

BroCi 인증 사용

BroCi 인증을 사용하면 대화형 로그인이 하나만 발생합니다.

BroCi가 활성화되면 EntraFalcon은 PIM for Groups를 위해 api.azrbac.mspim.azure.com도 쿼리합니다.

세부 사항

데이터 수집을 위해 이 도구는 Microsoft Graph API 및 선택적으로 Azure ARM API에 여러 요청을 보냅니다(개체당 하나 이상). 가능한 경우 Graph Batch 엔드포인트를 활용하여 개별 요청 수를 줄이고 효율성을 개선합니다.

대화형 로그인은 브라우저의 User-Agent를 사용합니다. 모든 비대화형 로그인 및 API 요청(Graph 및 ARM)은 -UserAgent 매개변수로 변경하지 않는 한 EntraFalcon을 User-Agent로 사용합니다.

EntraFalcon 사용을 탐지하기 위해 블루 팀은 로그인 로그에서 나열된 애플리케이션 ID를 모니터링하거나, 비정상적인 양의 Graph API 트래픽을 확인하거나, 토큰 갱신 및 배치 요청 동작을 분석할 수 있습니다.

🕳️ 알려진 제한 사항

• M365 RBAC: 평가되지 않음
• Defender for Endpoint RBAC: 평가되지 않음
• Intune RBAC: 평가되지 않음
• 조건부 액세스 사용자 커버리지: 효과적 사용자 커버리지 및 -ExportCapUncoveredUsers는 열거된 사용자, 그룹 멤버, 역할 할당 및 확인 가능한 외부 사용자 범주를 기반으로 하는 최선 노력 계산입니다. 외부 사용자 선택기는 b2bCollaborationGuest와 일치하는 테넌트 게스트 사용자에 대해서만 확인됩니다. 다른 외부 사용자 유형이나 지정된 외부 테넌트가 있는 외부 사용자는 커버리지 값을 근사치로 만들 수 있습니다. 적격 PIM 경로는 잠재적 커버리지로 보고되며 현재 커버된 것으로 계산되지 않습니다. CSV 내보내기는 활성화된 정책 및 활성화된 사용자로 제한됩니다.
• 클라우드 환경: 클라우드 플랫폼은 빠르게 진화합니다. 결과적으로 일부 평가 또는 탐지는 시간이 지남에 따라 오래되거나 부정확해질 수 있습니다. 또한 테넌트는 점점 더 복잡해지고 있으며 특정 구성 또는 설정 조합이 부정확한 결과를 초래할 수 있습니다. EntraFalcon을 최신 상태로 유지하기 위해 노력하지만, 독립적으로 결과를 확인하고 중요한 결정에 도구만 의존하지 않는 것이 항상 권장됩니다.
• HTML 보고서: 생성된 HTML 보고서는 XSS(교차 사이트 스크립팅)에 대한 보호 메커니즘을 구현하지 않습니다.

📦 통합 외부 도구

다음 하위 모듈은 인증, Microsoft Graph 상호 작용 및 보고서 차트를 지원하기 위해 포크되어 EntraFalcon에 통합되었습니다:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js