EntraFalcon

O EntraFalcon é uma ferramenta de avaliação baseada em PowerShell para pentesters, analistas de segurança e administradores de sistema avaliarem a postura de segurança de um ambiente Microsoft Entra ID.

Projetado para facilidade de uso, o EntraFalcon roda no PowerShell 5.1 e 7, suporta Windows e Linux e não requer módulos adicionais do PowerShell, instalações extras ou consentimento da API do Microsoft Graph.

A ferramenta ajuda a revelar objetos privilegiados, atribuições potencialmente arriscadas e configurações incorretas do Conditional Access que frequentemente passam despercebidas, como:

• Usuários com controle sobre grupos ou aplicativos de alto privilégio
• Aplicativos empresariais externos ou internos com permissões excessivas (por exemplo, Microsoft Graph API, funções do Azure)
• Usuários com atribuições de funções do Azure IAM diretamente em recursos
• Contas privilegiadas sincronizadas do ambiente local (on-premises)
• Usuários inativos ou usuários sem capacidade de MFA
• Grupos desprotegidos usados em atribuições sensíveis (por exemplo, exclusões do Conditional Access, Subscription Owner ou membro elegível de um grupo privilegiado)

Os resultados são apresentados em relatórios HTML interativos para dar suporte à exploração e análise eficientes.

🚀 Recursos

• Script PowerShell simples compatível com PowerShell 5.1 e 7. Funciona no Windows e Linux
• Autenticação integrada com suporte a múltiplos métodos
• Usa aplicativos Microsoft de primeira parte com escopos pré-consentidos para ignorar os prompts de consentimento da Graph API
• Gera relatórios HTML navegáveis que suportam filtragem, classificação, exportação de dados, etc.
• Executa >80 verificações automatizadas e resume os resultados em um Relatório de Descobertas de Segurança
  • Inclui verificações para configurações fracas de locatário e propriedades ou permissões arriscadas de objetos
  • Fornece classificações de gravidade, bem como descrições do problema, ameaças potenciais e orientações de remediação
  • Lista os objetos afetados e vincula diretamente aos seus relatórios detalhados para investigação adicional
• Realiza pontuação básica de impacto, probabilidade e risco para destacar objetos de alto privilégio com proteção fraca e ordenar os dados.
• Exibe avisos para configurações arriscadas e privilégios elevados
• Enumera objetos do Entra ID, incluindo:
  • Usuários (incluindo Agent Users)
  • Grupos
  • Aplicativos Empresariais
  • Registros de Aplicativo
  • Identidades Gerenciadas
  • Identidades de agente (BETA)
  • Principals de blueprint de identidade de agente (BETA)
  • Blueprints de identidade de agente (BETA)
  • Atribuições do PIM:
    • PIM para Funções do Entra
    • PIM para Grupos do Entra
    • PIM para Funções do Azure
  • Atribuições de Funções do Entra
  • Atribuições de Funções do Azure
  • Políticas de Conditional Access
  • Unidades Administrativas
  • Configurações do PIM:
    • PIM para Funções do Entra
    • PIM para Grupos (somente autenticação BroCi)

✅ Requisitos

Além disso, você deve ser capaz de autenticar na API do Microsoft Graph e, opcionalmente, na API ARM do Azure a partir do dispositivo em que executa a ferramenta. Garanta que as Políticas de Conditional Access não bloqueiem sua autenticação.

▶️ Uso

Baixar o EntraFalcon

Para começar, clone o repositório e navegue até o diretório do projeto:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Nota: Talvez seja necessário alterar temporariamente a política de execução do PowerShell para executar o script.
Só faça isso para scripts confiáveis!```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

Executar EntraFalcon

O EntraFalcon inclui suporte integrado para autenticação do Entra ID.
Vários fluxos de autenticação estão disponíveis para suportar diferentes ambientes e restrições.
Dependendo do fluxo selecionado, isso requer várias autenticações interativas.

Use -AuthFlow para selecionar o fluxo de autenticação.

Usar fluxo BroCi (padrão / somente Windows)

O BroCi usa aplicativos alternativos de primeira parte e requer apenas um login interativo.
Também é útil quando o cliente Azure Active Directory PowerShell requer atribuição e deve ser evitado.```powershell .\run_EntraFalcon.ps1

Seleção explícita de BroCi:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

Auth Code Flow (somente Windows)```powershell

.\run_EntraFalcon.ps1 -AuthFlow AuthCode

#### Fluxo de Código de Dispositivo
Ele é frequentemente restrito pelo Conditional Access em ambientes endurecidos.  
Com `DeviceCode`, duas verificações de Security Findings são executadas com profundidade reduzida (`CAP-004` e `CAP-005`).```powershell
.\run_EntraFalcon.ps1 -AuthFlow DeviceCode

Use Auth Code + Autenticação de Fluxo de Código Manual```powershell

.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. O script copia o URL de autenticação para a área de transferência.
2. Cole o URL em um navegador (opcionalmente em outro dispositivo para suporte a SSO).
3. Conclua a autenticação.
4. Copie o URL de redirecionamento final da barra de endereços do navegador (contendo o código de autorização) para a área de transferência.
5. Pressione Enter para continuar; o script lê o código da área de transferência e conclui a aquisição do token.


#### BroCi + Manual Code Flow```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. O script copia a URL de autenticação para a área de transferência.
2. Cole a URL em um navegador (opcionalmente em outro dispositivo para suporte a SSO).
3. Abra as ferramentas de desenvolvedor do navegador e, na aba Network, habilite Preserve log.
4. Conclua a autenticação.
5. Pesquise no log de rede por code=1. e copie a URL da solicitação que contém o código para a área de transferência.
6. Pressione Enter para continuar; o script lê o código da área de transferência e conclui a aquisição do token.

BroCi com Token

Se um token de atualização válido do Azure Portal já estiver disponível (client c44b4083-3bb0-49c1-b47d-974e53cbdf3c), ele pode ser usado diretamente. Exemplo: Obtendo o token de atualização pelo navegador

1. Abra as ferramentas de desenvolvedor do navegador e, na aba Network, habilite Preserve log.
2. Autentique-se em https://entra.microsoft.com.
3. Pesquise no log de rede por brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c e extraia o token de atualização da resposta.```powershell .\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

#### Entidade de serviço
Autentica como um aplicativo registrado usando o fluxo de concessão de credenciais de cliente OAuth2 — nenhuma interação do usuário é necessária.
Útil para execuções automatizadas.  
Requer um registro de aplicativo personalizado no Entra com permissões da Graph API do tipo `Application` (veja abaixo).

**Com segredo do cliente:**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPClientSecret "<Secret>"

Com certificado PFX:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePath "C:\certs\app.pfx"

Para um PFX protegido por senha, adicione `-SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString)`.

**Com certificado PEM + chave privada (apenas PowerShell 7+):**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Para uma chave privada criptografada, adicione -SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString).

Permissões Necessárias de Registro do Aplicativo

Conceda as seguintes permissões Application (não Delegated) no registro do aplicativo e forneça consentimento de administrador para elas:

Além disso, atribua a função Azure Reader no grupo de gerenciamento raiz (ou em cada assinatura relevante) e, opcionalmente, a função Global Reader à entidade de serviço no Entra ID (necessária para o status de MFA por usuário).

Outros Parâmetros

Incluir Aplicativos Empresariais de Propriedade da Microsoft

Por padrão, os aplicativos empresariais oficiais da Microsoft são excluídos da avaliação para reduzir ruído. Para incluí-los na enumeração e análise, use a opção -IncludeMsApps:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### Ignorar a avaliação do PIM for Groups
Use a opção `-SkipPimForGroups` para ignorar a pré-coleta e o enriquecimento do PIM-for-Groups.  
Isso também ignora o relatório autônomo de configurações `PIM (Groups)`.```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

Outros Parâmetros Opcionais

📊 Alguns Exemplos de Relatórios

Relatório de Descobertas de Segurança

Usuários

Usuários (Seção de Detalhes)

Funções do Entra ID

Funções do Azure

Aplicativo Empresarial (Seção de Detalhes)

Políticas de Acesso Condicional

Políticas de Acesso Condicional (Seção de Detalhes)

Configurações de Funções do PIM (Entra)

Identidades de Agente

Resumo de Enumeração

📑 Relatório HTML

Geral

• Clique no botão ⚙️ Colunas para mostrar ou ocultar colunas específicas.
• Clique em 💾 Exportar CSV para baixar os dados visíveis atuais como um arquivo CSV.
• Clique em 👁 Compartilhar Visualização para copiar filtros, classificação e seleção de colunas como um link compartilhável.
• Clique em 🧰 Visualizações Predefinidas para aplicar filtros e seleções de colunas pré-configurados.
• Clique em 🔄 Redefinir Visualização para redefinir a visualização para o padrão.
• Clique nos nomes dos objetos para ir para informações detalhadas, mesmo em outros relatórios.
• Ao usar a navegação interna, pressione o botão voltar do navegador para retornar.
• Alguns campos de cabeçalho de tabela exibem texto de ajuda ao passar o mouse.
• Classifique os dados clicando em um cabeçalho de tabela.

Filtragem

• Se nenhum operador for especificado, a filtragem usa como padrão contém.
• Use = para correspondência exata.
• Use ^ para começa com (ex.: ^Mallory).
• Use $ para termina com (ex.: $domain.ch).
• Operadores de comparação como >, <, >=, <= são suportados (somente valores numéricos).
• Os filtros podem ser negados começando com ! (exceto para comparações numéricas). Exemplos: !Mallory, !=Mallory,!^Mallory ou !$domain.ch.

Controles usando Parâmetros GET

• Filtragem: aplique filtros usando nomes de campos como parâmetros HTTP GET, ex.: ?EntraRoles=>1&Enabled=true.
  Para aplicar lógica OR entre colunas, use o prefixo or_ ou group1_ (ex.: ?or_EntraRoles=>0&or_GrpMem=>0).
• Seleção de Colunas: escolha quais colunas exibir usando o parâmetro columns. Exemplo: ?columns=DisplayName,Owner.
• Classificação: classifique os dados usando os parâmetros sort e sortDir. Exemplo: ?sort=Impact&sortDir=desc ou ?sort=OwnerCount&sortDir=asc.
• Detalhes do Objeto: vá diretamente para um objeto específico no relatório usando uma âncora (#) e o ID do objeto, ex.: #%ObjectID%.

Classificação

• Impacto: representa a quantidade ou gravidade da permissão que o objeto possui.
• Probabilidade: representa a facilidade com que o objeto pode ser influenciado ou o quão bem ele está protegido.
• Risco: pontuação calculada: Impacto × Probabilidade = Risco.
• Importante:
  • Esta pontuação é uma avaliação básica para ajudar a classificar e priorizar entradas na tabela.
  • As pontuações de risco não são diretamente comparáveis entre diferentes tipos de objetos ou relatórios.
  • Não tem a intenção de substituir uma avaliação de risco completa.

🔧 Por Baixo dos Panos

Categorização de Funções

As funções do Entra ID e do Azure são categorizadas aproximadamente em diferentes níveis de camadas. Essa categorização influencia as pontuações de impacto dos objetos atribuídos a essas funções. O objetivo é atribuir uma pontuação de impacto maior a usuários com funções mais poderosas (ex.: Administrador Global) em comparação com usuários com funções menos críticas (ex.: Leitor Global), mesmo que ambas sejam consideradas funções privilegiadas pela Microsoft.

Nota: Para as funções do Azure, essa categorização é menos precisa, pois o impacto real depende fortemente do escopo da atribuição da função. Por exemplo, uma função de Proprietário em uma única máquina virtual tem impacto significativamente menor do que quando a mesma função é aplicada a uma assinatura inteira. Pode também ser uma assinatura de teste sem nenhum recurso.

Categorização de Permissões de API

Certas permissões de API permitem que um aplicativo escale diretamente para privilégios de Administrador Global. Portanto, várias permissões de API são categorizadas em diferentes níveis de severidade. Essa categorização influencia a pontuação de impacto de aplicativos que possuem essas permissões atribuídas — seja como permissões de aplicativo ou permissões delegadas para usuários.

Aplicativos Empresariais de Primeira Parte da Microsoft

Por padrão, os aplicativos da Microsoft são filtrados para simplificar a revisão dos Aplicativos Empresariais. Use o parâmetro -IncludeMsApps para incluí-los. Os aplicativos dos seguintes locatários são tratados como de propriedade da Microsoft:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Verificações Realizadas

A tabela a seguir resume de forma aproximada as verificações realizadas, juntamente com seu impacto na pontuação e se um aviso é exibido.

🛡️ Detecção

O EntraFalcon não é furtivo e pode ser detectado em ambientes onde a atividade da API do Microsoft Graph e de login do Azure é registrada e monitorada.

Autenticação Padrão Utilizada

Quando uma enumeração completa é realizada com fluxos não-BroCi, a ferramenta normalmente inicia quatro logins interativos e um login não interativo. Dependendo do fluxo e do suporte do endpoint, um login interativo adicional pode ocorrer para os endpoints de políticas de Security Findings.

Autenticação BroCi Utilizada

Quando a autenticação BroCi é usada, ocorre apenas um login interativo.

Quando o BroCi está habilitado, o EntraFalcon também consulta api.azrbac.mspim.azure.com para PIM para Grupos.

Detalhes

Para coleta de dados, a ferramenta envia várias solicitações à API do Microsoft Graph e, opcionalmente, à API ARM do Azure — uma ou mais por objeto. Quando possível, ela utiliza o endpoint Graph Batch para reduzir o número de solicitações individuais e melhorar a eficiência.

Logins interativos usam o User-Agent do navegador. Todos os logins não interativos e solicitações de API (Graph e ARM) usam EntraFalcon como User-Agent, a menos que seja alterado com o parâmetro -UserAgent.

Para detectar o uso do EntraFalcon, as equipes de defesa (blue teams) podem monitorar os IDs de aplicativo listados nos logs de login, procurar volumes incomuns de tráfego da API do Graph ou analisar o comportamento de atualização de tokens e solicitações em lote.

🕳️ Limitações Conhecidas

• M365 RBAC: Não avaliado
• Defender for Endpoint RBAC: Não avaliado
• Intune RBAC: Não avaliado
• Cobertura de usuários do Conditional Access: A cobertura efetiva de usuários e -ExportCapUncoveredUsers são cálculos de melhor esforço baseados em usuários enumerados, membros de grupos, atribuições de função e categorias de usuários externos resolvíveis. Os seletores de usuários externos são resolvidos apenas para usuários convidados do locatário que correspondem a b2bCollaborationGuest. Outros tipos de usuários externos ou usuários externos com locatários externos especificados podem tornar os valores de cobertura aproximados. Os caminhos PIM elegíveis são relatados como cobertura potencial e não são contados como atualmente cobertos. A exportação CSV é limitada a políticas habilitadas e usuários habilitados.
• Ambiente de Nuvem: As plataformas de nuvem evoluem rapidamente. Como resultado, algumas avaliações ou detecções podem se tornar desatualizadas ou imprecisas com o tempo. Além disso, os locatários estão se tornando cada vez mais complexos, e configurações específicas ou combinações de configurações podem levar a resultados imprecisos. Embora nos esforcemos para manter o EntraFalcon atualizado, é sempre recomendável validar os achados de forma independente e não confiar apenas na ferramenta para decisões críticas.
• Relatórios HTML: Os relatórios HTML gerados não implementam mecanismos de proteção contra cross-site scripting (XSS).

📦 Ferramentas Externas Integradas

Os seguintes submódulos foram bifurcados (fork) e integrados ao EntraFalcon para suportar autenticação, interação com o Microsoft Graph e gráficos de relatórios:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js