EntraFalcon

O EntraFalcon é uma ferramenta de avaliação baseada em PowerShell para pentesters, analistas de segurança e administradores de sistemas avaliarem a postura de segurança de um ambiente Microsoft Entra ID.

Projetado para facilidade de uso, o EntraFalcon roda no PowerShell 5.1 e 7, suporta Windows e Linux, e não requer módulos adicionais do PowerShell, instalações extras ou consentimento da API do Microsoft Graph.

A ferramenta ajuda a descobrir objetos privilegiados, atribuições potencialmente arriscadas e configurações incorretas de Acesso Condicional que muitas vezes são ignoradas, como:

• Usuários com controle sobre grupos ou aplicativos de alto privilégio
• Aplicativos empresariais externos ou internos com permissões excessivas (ex.: API do Microsoft Graph, funções do Azure)
• Usuários com atribuições de função IAM do Azure diretamente em recursos
• Contas privilegiadas sincronizadas do local (on-premises)
• Usuários inativos ou usuários sem capacidade de MFA
• Grupos desprotegidos usados em atribuições sensíveis (ex.: exclusões de Acesso Condicional, Proprietário de Assinatura ou membro elegível de um grupo privilegiado)

Os resultados são apresentados em relatórios HTML interativos para apoiar uma exploração e análise eficientes.

🚀 Recursos

• Script PowerShell simples compatível com PowerShell 5.1 e 7. Funciona em Windows e Linux
• Autenticação integrada com suporte a múltiplos métodos
• Usa aplicativos Microsoft de primeira parte com escopos pré-consentidos para contornar os prompts de consentimento da API do Graph
• Gera relatórios HTML navegáveis que suportam filtragem, ordenação, exportação de dados, etc.
• Executa mais de 90 verificações automatizadas e resume os resultados em um Relatório de Descobertas de Segurança
  • Inclui verificações para configurações fracas do locatário e propriedades ou permissões de objetos arriscadas
  • Fornece classificações de gravidade, bem como descrições do problema, ameaças potenciais e orientações de remediação
  • Lista os objetos afetados e links diretos para seus relatórios detalhados para investigação adicional
• Realiza pontuação básica de impacto, probabilidade e risco para destacar objetos de alto privilégio fracamente protegidos e ordenar os dados.
• Exibe avisos para configurações arriscadas e privilégios elevados
• Enumera objetos do Entra ID, incluindo:
  • Usuários (incluindo Usuários Agentes)
  • Grupos
  • Aplicativos Empresariais
  • Registros de Aplicativos
  • Identidades Gerenciadas
  • Identidades de agentes
  • Principais de blueprint de identidade de agentes
  • Blueprints de identidade de agentes
  • Atribuições de PIM:
    • PIM para Funções do Entra
    • PIM para Grupos
    • PIM para Funções do Azure
  • Atribuições de Funções do Entra
  • Atribuições de Funções do Azure
  • Atribuições de RBAC do Intune
  • Pacotes de Acesso
  • Catálogos de Gerenciamento de Direitos
  • RBAC de Catálogo
  • Políticas de Acesso Condicional
  • Unidades Administrativas
  • Configurações de PIM:
    • PIM para Funções do Entra
    • PIM para Grupos (somente autenticação BroCi)

✅ Requisitos

Além disso, você deve ser capaz de autenticar na API do Microsoft Graph e, opcionalmente, na API ARM do Azure a partir do dispositivo onde executa a ferramenta. Garanta que as Políticas de Acesso Condicional não bloqueiem sua autenticação.

▶️ Uso

Baixar o EntraFalcon

Para começar, clone o repositório e navegue até o diretório do projeto:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Nota: Pode ser necessário alterar temporariamente a política de execução do PowerShell para executar o script.
Faça isso apenas para scripts confiáveis!```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

Executar o EntraFalcon

O EntraFalcon inclui suporte integrado para autenticação do Entra ID. Use -AuthFlow para selecionar o fluxo de autenticação.

Para avaliações normais, use um dos fluxos de cobertura completa:

O BroCi usa um único login interativo. O BroCiToken e o ServicePrincipal não usam nenhum. Os fluxos de usuário alternativos podem exigir vários logins interativos, pois tokens de recursos separados são solicitados.

Recomendado: Fluxo BroCi (padrão / somente Windows)

O BroCi usa aplicativos de primeira parte alternativos e requer apenas um único login interativo.
É útil quando o cliente Azure Active Directory PowerShell exige atribuição e deve ser evitado.```powershell .\run_EntraFalcon.ps1

Seleção explícita de BroCi:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

Recomendado: BroCi + Fluxo de Código Manual```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. O script copia o URL de autenticação para a área de transferência.
2. Cole o URL em um navegador (opcionalmente em outro dispositivo para suporte a SSO).
3. Abra as ferramentas de desenvolvedor do navegador e, na aba Rede, ative `Preserve log`.
4. Conclua a autenticação.
5. Pesquise no log de rede por `code=1.` e copie o URL da solicitação que contém o código para a área de transferência.
6. Pressione Enter para continuar; o script lê o código da área de transferência e conclui a obtenção do token.


#### Recomendado: BroCi com Token
Se um token de atualização válido do Portal do Azure já estiver disponível (cliente c44b4083-3bb0-49c1-b47d-974e53cbdf3c), ele pode ser usado diretamente.
Exemplo: Obtendo o token de atualização do navegador
1. Abra as ferramentas de desenvolvedor do navegador e, na aba Rede, ative Preserve log.
2. Autentique-se em https://entra.microsoft.com.
3. Pesquise no log de rede por `brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c` e extraia o token de atualização da resposta.```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

Recomendado: Service Principal

Autentica como uma aplicação registada utilizando a concessão de credenciais de cliente OAuth2 — não é necessária interação do utilizador. Útil para execuções automatizadas repetidas.
Requer um registo de aplicação Entra personalizado com permissões da Graph API do tipo Application (ver abaixo).

Com segredo de cliente:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

**Com certificado PFX:**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePath "C:\certs\app.pfx"

Para um PFX protegido por senha, adicione -SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString).

Com certificado PEM + chave privada (apenas PowerShell 7+):```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Para uma chave privada encriptada, adicione `-SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString)`.

##### Permissões Necessárias do Registo da Aplicação
Conceda as seguintes permissões de **Aplicação** (não Delegadas) no registo da aplicação e administre o consentimento para elas:

| Permissão | Tipo |
|---|---|
| `AdministrativeUnit.Read.All` | Aplicação |
| `AgentIdentity.Read.All` | Aplicação |
| `AgentIdentityBlueprint.Read.All` | Aplicação |
| `AgentIdentityBlueprintPrincipal.Read.All` | Aplicação |
| `Application.Read.All` | Aplicação |
| `AuditLog.Read.All` | Aplicação |
| `Device.Read.All` | Aplicação |
| `EntitlementManagement.Read.All` | Aplicação |
| `Group.Read.All` | Aplicação |
| `Organization.Read.All` | Aplicação |
| `Policy.Read.All` | Aplicação |
| `PrivilegedAccess.Read.AzureADGroup` | Aplicação |
| `RoleManagement.Read.Directory` | Aplicação |
| `RoleManagementPolicy.Read.AzureADGroup` | Aplicação |
| `User.Read.All` | Aplicação |
| `DeviceManagementRBAC.Read.All` | Aplicação |

Além disso, atribua a função **Leitor do Azure** no grupo de gestão raiz (ou em cada subscrição relevante) e, opcionalmente, a função **Leitor Global** ao principal de serviço no Entra ID (necessária para o estado de MFA por utilizador).

#### Alternativa: Fluxo de Código de Autorização (apenas Windows)```powershell
.\run_EntraFalcon.ps1 -AuthFlow AuthCode

Fallback: Fluxo de Código de Dispositivo

É frequentemente restringido pelo Acesso Condicional em ambientes endurecidos.
Com DeviceCode, duas verificações de Descobertas de Segurança são executadas com profundidade reduzida (CAP-004 e CAP-005).```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

#### Fallback: Fluxo de Código de Autorização + Código Manual```powershell
.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. O script copia o URL de autenticação para a área de transferência.
2. Cole o URL em um navegador (opcionalmente em outro dispositivo para suporte a SSO).
3. Conclua a autenticação.
4. Copie o URL de redirecionamento final da barra de endereços do navegador (contendo o código de autorização) para a área de transferência.
5. Pressione Enter para continuar; o script lê o código da área de transferência e conclui a aquisição do token.

Outros Parâmetros

Incluir Aplicativos Empresariais de Propriedade da Microsoft

Por padrão, os aplicativos empresariais oficiais da Microsoft são excluídos da avaliação para reduzir ruído. Para incluí-los na enumeração e análise, use o switch -IncludeMsApps:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### Ignorar Avaliação de PIM para Grupos
Use o parâmetro `-SkipPimForGroups` para ignorar a pré-coleta e o enriquecimento de PIM para Grupos.  
Isso também ignora o relatório autônomo de configurações de `PIM for Groups`.```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

Outros Parâmetros Opcionais

📊 Alguns Exemplos de Relatórios

Relatório de Descobertas de Segurança

Usuários

Usuários (Seção de Detalhes)

Funções do Entra ID

Funções do Azure

Aplicativo Empresarial (Seção de Detalhes)

Políticas de Acesso Condicional

Políticas de Acesso Condicional (Seção de Detalhes)

Configurações de Função do PIM (Entra)

Identidades de Agente

Resumo da Enumeração

📑 Relatório HTML

Geral

• Clique no botão ⚙️ Colunas para mostrar ou ocultar colunas específicas.
• Clique em 💾 Exportar para baixar CSV/JSON ou copiar CSV/TSV/JSON dos dados atualmente visíveis.
• Clique em 👁 Compartilhar Visualização para copiar filtros, ordenação e seleção de colunas como um link compartilhável.
• Clique em 🧰 Visualizações Predefinidas para aplicar filtros e seleções de colunas pré-configurados.
• Clique em 🔄 Redefinir Visualização para redefinir a visualização para o padrão.
• Clique nos nomes dos objetos para saltar para informações detalhadas, mesmo em outros relatórios.
• Ao usar a navegação interna, pressione o botão voltar do navegador para retornar.
• Alguns cabeçalhos de coluna da tabela exibem texto de ajuda ao passar o mouse.
• Ordene os dados clicando em um cabeçalho de tabela.
• Alt+clique em um cabeçalho de coluna principal da tabela para ocultar rapidamente essa coluna.
• Alt+clique em uma linha de conteúdo da tabela principal para ocultá-la temporariamente. Use o chip de linhas ocultas ou Redefinir Visualização para mostrar as linhas ocultas novamente.

Filtragem

• Se nenhum operador for especificado, a filtragem usa contém por padrão.
• Use = para correspondência exata.
• Use ^ para começa com (ex.: ^Mallory).
• Use $ para termina com (ex.: $domain.ch).
• Operadores de comparação como >, <, >=, <= são suportados (somente valores numéricos).
• Os filtros podem ser negados começando com ! (exceto para comparações numéricas). Exemplos: !Mallory, !=Mallory, !^Mallory ou !$domain.ch.
• Use =empty para corresponder a células vazias, ou !=empty para corresponder a células não vazias.
• Use || para corresponder a qualquer um de vários valores na mesma coluna (ex.: Admin || Guest).
• Use && para exigir múltiplas correspondências na mesma coluna (ex.: !adm && !svc && !sql).
• Para aplicar lógica OR entre colunas, use or_, group1_, group2_... diretamente em um campo de filtro. Exemplos: na coluna 1: or_>1, na coluna 2: or_!Mallory
• Nota: A coluna DisplayName também inclui o ID do objeto (invisível), portanto também é possível filtrar por ID.

Controles usando Parâmetros GET

• Filtragem: Aplique filtros usando nomes de campos como parâmetros HTTP GET, ex.: ?EntraRoles=>1&Enabled=true.
  Para aplicar lógica OR entre colunas, use o prefixo or_ ou group1_ (ex.: ?or_EntraRoles=>0&or_GrpMem=>0).
• Seleção de Colunas: Escolha quais colunas exibir usando o parâmetro columns. Exemplo: ?columns=DisplayName,Owner.
• Ordenação: Ordene os dados usando os parâmetros sort e sortDir. Exemplo: ?sort=Impact&sortDir=desc ou ?sort=OwnerCount&sortDir=asc.
• Detalhes do Objeto: Salte diretamente para um objeto específico no relatório usando uma âncora (#) e o ID do objeto, ex.: #%ObjectID%.

Classificação

• Impacto: Representa a quantidade ou gravidade das permissões que o objeto possui.
• Probabilidade: Representa o quão facilmente o objeto pode ser influenciado ou o quão bem ele está protegido.
• Risco: Pontuação calculada: Impacto × Probabilidade = Risco.
• Importante:
  • Esta pontuação é destinada como uma avaliação básica para ajudar a ordenar e priorizar entradas na tabela.
  • As pontuações de risco não são diretamente comparáveis entre diferentes tipos de objetos ou relatórios.
  • Não se destina a substituir uma avaliação de risco completa.

🔧Nos Bastidores

Categorização de Funções

As funções do Entra ID e do Azure são categorizadas aproximadamente em diferentes níveis de camada. Essa categorização influencia as pontuações de impacto dos objetos atribuídos a essas funções. O objetivo é atribuir uma pontuação de impacto maior a usuários com funções mais poderosas (ex.: Administrador Global) em comparação com usuários com funções menos críticas (ex.: Leitor Global), mesmo que ambas sejam consideradas funções privilegiadas pela Microsoft.

Nota: Para funções do Azure, essa categorização é menos precisa, pois o impacto real depende fortemente do escopo da atribuição da função. Por exemplo, uma função de Proprietário em uma única máquina virtual tem significativamente menos impacto do que quando a mesma função é aplicada a uma assinatura inteira. Também pode ser uma assinatura de teste sem nenhum recurso.

Categorização de Permissões de API

Certas permissões de API permitem que um aplicativo escale diretamente para privilégios de Administrador Global. Portanto, várias permissões de API são categorizadas em diferentes níveis de gravidade. Essa categorização influencia a pontuação de impacto dos aplicativos que possuem essas permissões atribuídas — seja como permissões de aplicativo ou permissões delegadas para usuários.

Aplicações Empresariais Microsoft de Primeira Parte

Por predefinição, as aplicações Microsoft são filtradas para simplificar a revisão das Aplicações Empresariais. Utilize o parâmetro -IncludeMsApps para as incluir. As aplicações dos seguintes inquilinos são tratadas como propriedade da Microsoft:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Verificações Realizadas

A tabela seguinte resume aproximadamente as verificações realizadas, juntamente com o seu impacto na pontuação e se é apresentado um aviso.

🛡️ Detecção

O EntraFalcon não é furtivo e pode ser detectado em ambientes onde a API do Microsoft Graph e a atividade de login do Azure são registradas e monitoradas.

Autenticação Padrão Utilizada

Quando uma enumeração completa é realizada com fluxos não-BroCi, a ferramenta normalmente inicia quatro logins interativos e um login não interativo. Dependendo do fluxo e do suporte do endpoint, um login interativo adicional pode ocorrer para endpoints de política de Security Findings.

Autenticação BroCi Utilizada

Quando a autenticação BroCi é usada, apenas um login interativo ocorre.

Quando o BroCi está habilitado, o EntraFalcon também consulta api.azrbac.mspim.azure.com para PIM para Grupos.

Detalhes

Para a coleta de dados, a ferramenta envia múltiplas solicitações à API do Microsoft Graph e, opcionalmente, à API ARM do Azure—uma ou mais por objeto. Quando possível, ela aproveita o endpoint de Lote do Graph para reduzir o número de solicitações individuais e melhorar a eficiência.

Logins interativos usam o User-Agent do navegador. Todos os logins não interativos e solicitações de API (Graph e ARM) usam EntraFalcon como User-Agent, a menos que alterado com o parâmetro -UserAgent.

Para detectar o uso do EntraFalcon, as equipes de blue team podem monitorar os IDs de aplicativo listados nos logs de login, procurar volumes incomuns de tráfego da API do Graph ou analisar o comportamento de atualização de token e solicitações em lote.

🕳️ Limitações Conhecidas

• RBAC do M365: Não avaliado
• RBAC do Defender for Endpoint: Não avaliado
• Cobertura de usuários do Conditional Access: A cobertura efetiva de usuários e -ExportCapUncoveredUsers são cálculos de melhor esforço baseados em usuários enumerados, membros de grupos, atribuições de funções e categorias de usuários externos resolvíveis. Seletores de usuários externos são resolvidos apenas para usuários convidados do locatário que correspondem a b2bCollaborationGuest. Outros tipos de usuários externos ou usuários externos com locatários externos especificados podem tornar os valores de cobertura aproximados. Caminhos elegíveis do PIM são relatados como cobertura potencial e não são contados como atualmente cobertos. A exportação CSV é limitada a políticas habilitadas e usuários habilitados.
• Ambiente de Nuvem: As plataformas de nuvem evoluem rapidamente. Como resultado, algumas avaliações ou detecções podem se tornar desatualizadas ou imprecisas ao longo do tempo. Além disso, os locatários estão se tornando cada vez mais complexos, e configurações específicas ou combinações de configurações podem levar a resultados imprecisos. Embora nos esforcemos para manter o EntraFalcon atualizado, é sempre recomendado validar os achados de forma independente e não confiar apenas na ferramenta para decisões críticas.
• Relatórios HTML: Os relatórios HTML gerados não implementam mecanismos de proteção contra cross-site scripting (XSS).

📦 Ferramentas Externas Integradas

Os seguintes submódulos foram bifurcados e integrados ao EntraFalcon para suportar autenticação, interação com o Microsoft Graph e gráficos de relatórios:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js