✅ Requisitos

Além disso, você deve ser capaz de autenticar na API do Microsoft Graph e, opcionalmente, na API ARM do Azure a partir do dispositivo onde executa a ferramenta. Garanta que as Políticas de Acesso Condicional não bloqueiem sua autenticação.

▶️ Uso

Baixar o EntraFalcon

Para começar, clone o repositório e navegue até o diretório do projeto:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Executar o EntraFalcon

O EntraFalcon inclui suporte integrado para autenticação do Entra ID. Use -AuthFlow para selecionar o fluxo de autenticação.

Para avaliações normais, use um dos fluxos de cobertura completa:

O BroCi usa um único login interativo. O BroCiToken e o ServicePrincipal não usam nenhum. Os fluxos de usuário alternativos podem exigir vários logins interativos, pois tokens de recursos separados são solicitados.

Recomendado: Fluxo BroCi (padrão / somente Windows)

O BroCi usa aplicativos de primeira parte alternativos e requer apenas um único login interativo.
É útil quando o cliente Azure Active Directory PowerShell exige atribuição e deve ser evitado.```powershell .\run_EntraFalcon.ps1

Recomendado: BroCi + Fluxo de Código Manual```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

Recomendado: Service Principal

Autentica como uma aplicação registada utilizando a concessão de credenciais de cliente OAuth2 — não é necessária interação do utilizador. Útil para execuções automatizadas repetidas.
Requer um registo de aplicação Entra personalizado com permissões da Graph API do tipo Application (ver abaixo).

Com segredo de cliente:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

Para um PFX protegido por senha, adicione -SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString).

Com certificado PEM + chave privada (apenas PowerShell 7+):```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Fallback: Fluxo de Código de Dispositivo

É frequentemente restringido pelo Acesso Condicional em ambientes endurecidos.
Com DeviceCode, duas verificações de Descobertas de Segurança são executadas com profundidade reduzida (CAP-004 e CAP-005).```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

1. O script copia o URL de autenticação para a área de transferência.
2. Cole o URL em um navegador (opcionalmente em outro dispositivo para suporte a SSO).
3. Conclua a autenticação.
4. Copie o URL de redirecionamento final da barra de endereços do navegador (contendo o código de autorização) para a área de transferência.
5. Pressione Enter para continuar; o script lê o código da área de transferência e conclui a aquisição do token.

Outros Parâmetros

Incluir Aplicativos Empresariais de Propriedade da Microsoft

Por padrão, os aplicativos empresariais oficiais da Microsoft são excluídos da avaliação para reduzir ruído. Para incluí-los na enumeração e análise, use o switch -IncludeMsApps:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

Outros Parâmetros Opcionais

📊 Alguns Exemplos de Relatórios

Relatório de Descobertas de Segurança

Usuários

Usuários (Seção de Detalhes)

Funções do Entra ID

Funções do Azure

Aplicativo Empresarial (Seção de Detalhes)

Políticas de Acesso Condicional

Políticas de Acesso Condicional (Seção de Detalhes)

Configurações de Função do PIM (Entra)

Identidades de Agente

Resumo da Enumeração

📑 Relatório HTML

Geral

• Clique no botão ⚙️ Colunas para mostrar ou ocultar colunas específicas.
• Clique em 💾 Exportar para baixar CSV/JSON ou copiar CSV/TSV/JSON dos dados atualmente visíveis.
• Clique em 👁 Compartilhar Visualização para copiar filtros, ordenação e seleção de colunas como um link compartilhável.
• Clique em 🧰 Visualizações Predefinidas para aplicar filtros e seleções de colunas pré-configurados.
• Clique em 🔄 Redefinir Visualização para redefinir a visualização para o padrão.
• Clique nos nomes dos objetos para saltar para informações detalhadas, mesmo em outros relatórios.
• Ao usar a navegação interna, pressione o botão voltar do navegador para retornar.
• Alguns cabeçalhos de coluna da tabela exibem texto de ajuda ao passar o mouse.
• Ordene os dados clicando em um cabeçalho de tabela.
• Alt+clique em um cabeçalho de coluna principal da tabela para ocultar rapidamente essa coluna.
• Alt+clique em uma linha de conteúdo da tabela principal para ocultá-la temporariamente. Use o chip de linhas ocultas ou Redefinir Visualização para mostrar as linhas ocultas novamente.

Filtragem

• Se nenhum operador for especificado, a filtragem usa contém por padrão.
• Use = para correspondência exata.
• Use ^ para começa com (ex.: ^Mallory).
• Use $ para termina com (ex.: $domain.ch).
• Operadores de comparação como >, <, >=, <= são suportados (somente valores numéricos).
• Os filtros podem ser negados começando com ! (exceto para comparações numéricas). Exemplos: !Mallory, !=Mallory, !^Mallory ou !$domain.ch.
• Use =empty para corresponder a células vazias, ou !=empty para corresponder a células não vazias.
• Use || para corresponder a qualquer um de vários valores na mesma coluna (ex.: Admin || Guest).
• Use && para exigir múltiplas correspondências na mesma coluna (ex.: !adm && !svc && !sql).
• Para aplicar lógica OR entre colunas, use or_, group1_, group2_... diretamente em um campo de filtro. Exemplos: na coluna 1: or_>1, na coluna 2: or_!Mallory
• Nota: A coluna DisplayName também inclui o ID do objeto (invisível), portanto também é possível filtrar por ID.

Controles usando Parâmetros GET

• Filtragem: Aplique filtros usando nomes de campos como parâmetros HTTP GET, ex.: ?EntraRoles=>1&Enabled=true.
  Para aplicar lógica OR entre colunas, use o prefixo or_ ou group1_ (ex.: ?or_EntraRoles=>0&or_GrpMem=>0).
• Seleção de Colunas: Escolha quais colunas exibir usando o parâmetro columns. Exemplo: ?columns=DisplayName,Owner.
• Ordenação: Ordene os dados usando os parâmetros sort e sortDir. Exemplo: ?sort=Impact&sortDir=desc ou ?sort=OwnerCount&sortDir=asc.
• Detalhes do Objeto: Salte diretamente para um objeto específico no relatório usando uma âncora (#) e o ID do objeto, ex.: #%ObjectID%.

Classificação

• Impacto: Representa a quantidade ou gravidade das permissões que o objeto possui.
• Probabilidade: Representa o quão facilmente o objeto pode ser influenciado ou o quão bem ele está protegido.
• Risco: Pontuação calculada: Impacto × Probabilidade = Risco.
• Importante:
  • Esta pontuação é destinada como uma avaliação básica para ajudar a ordenar e priorizar entradas na tabela.
  • As pontuações de risco não são diretamente comparáveis entre diferentes tipos de objetos ou relatórios.
  • Não se destina a substituir uma avaliação de risco completa.

🔧Nos Bastidores

Categorização de Funções

As funções do Entra ID e do Azure são categorizadas aproximadamente em diferentes níveis de camada. Essa categorização influencia as pontuações de impacto dos objetos atribuídos a essas funções. O objetivo é atribuir uma pontuação de impacto maior a usuários com funções mais poderosas (ex.: Administrador Global) em comparação com usuários com funções menos críticas (ex.: Leitor Global), mesmo que ambas sejam consideradas funções privilegiadas pela Microsoft.

Nota: Para funções do Azure, essa categorização é menos precisa, pois o impacto real depende fortemente do escopo da atribuição da função. Por exemplo, uma função de Proprietário em uma única máquina virtual tem significativamente menos impacto do que quando a mesma função é aplicada a uma assinatura inteira. Também pode ser uma assinatura de teste sem nenhum recurso.

Categorização de Permissões de API

Certas permissões de API permitem que um aplicativo escale diretamente para privilégios de Administrador Global. Portanto, várias permissões de API são categorizadas em diferentes níveis de gravidade. Essa categorização influencia a pontuação de impacto dos aplicativos que possuem essas permissões atribuídas — seja como permissões de aplicativo ou permissões delegadas para usuários.

Aplicações Empresariais Microsoft de Primeira Parte

Por predefinição, as aplicações Microsoft são filtradas para simplificar a revisão das Aplicações Empresariais. Utilize o parâmetro -IncludeMsApps para as incluir. As aplicações dos seguintes inquilinos são tratadas como propriedade da Microsoft:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Verificações Realizadas

A tabela seguinte resume aproximadamente as verificações realizadas, juntamente com o seu impacto na pontuação e se é apresentado um aviso.

🛡️ Detecção

O EntraFalcon não é furtivo e pode ser detectado em ambientes onde a API do Microsoft Graph e a atividade de login do Azure são registradas e monitoradas.

Autenticação Padrão Utilizada

Quando uma enumeração completa é realizada com fluxos não-BroCi, a ferramenta normalmente inicia quatro logins interativos e um login não interativo. Dependendo do fluxo e do suporte do endpoint, um login interativo adicional pode ocorrer para endpoints de política de Security Findings.

Autenticação BroCi Utilizada

Quando a autenticação BroCi é usada, apenas um login interativo ocorre.

Quando o BroCi está habilitado, o EntraFalcon também consulta api.azrbac.mspim.azure.com para PIM para Grupos.

Detalhes

Para a coleta de dados, a ferramenta envia múltiplas solicitações à API do Microsoft Graph e, opcionalmente, à API ARM do Azure—uma ou mais por objeto. Quando possível, ela aproveita o endpoint de Lote do Graph para reduzir o número de solicitações individuais e melhorar a eficiência.

Logins interativos usam o User-Agent do navegador. Todos os logins não interativos e solicitações de API (Graph e ARM) usam EntraFalcon como User-Agent, a menos que alterado com o parâmetro -UserAgent.

Para detectar o uso do EntraFalcon, as equipes de blue team podem monitorar os IDs de aplicativo listados nos logs de login, procurar volumes incomuns de tráfego da API do Graph ou analisar o comportamento de atualização de token e solicitações em lote.

🕳️ Limitações Conhecidas

• RBAC do M365: Não avaliado
• RBAC do Defender for Endpoint: Não avaliado
• Cobertura de usuários do Conditional Access: A cobertura efetiva de usuários e -ExportCapUncoveredUsers são cálculos de melhor esforço baseados em usuários enumerados, membros de grupos, atribuições de funções e categorias de usuários externos resolvíveis. Seletores de usuários externos são resolvidos apenas para usuários convidados do locatário que correspondem a b2bCollaborationGuest. Outros tipos de usuários externos ou usuários externos com locatários externos especificados podem tornar os valores de cobertura aproximados. Caminhos elegíveis do PIM são relatados como cobertura potencial e não são contados como atualmente cobertos. A exportação CSV é limitada a políticas habilitadas e usuários habilitados.
• Ambiente de Nuvem: As plataformas de nuvem evoluem rapidamente. Como resultado, algumas avaliações ou detecções podem se tornar desatualizadas ou imprecisas ao longo do tempo. Além disso, os locatários estão se tornando cada vez mais complexos, e configurações específicas ou combinações de configurações podem levar a resultados imprecisos. Embora nos esforcemos para manter o EntraFalcon atualizado, é sempre recomendado validar os achados de forma independente e não confiar apenas na ferramenta para decisões críticas.
• Relatórios HTML: Os relatórios HTML gerados não implementam mecanismos de proteção contra cross-site scripting (XSS).

📦 Ferramentas Externas Integradas

Os seguintes submódulos foram bifurcados e integrados ao EntraFalcon para suportar autenticação, interação com o Microsoft Graph e gráficos de relatórios:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js