EntraFalcon

EntraFalcon — это инструмент оценки на базе PowerShell для пентестеров, специалистов по безопасности и системных администраторов, предназначенный для оценки уровня безопасности среды Microsoft Entra ID.

Разработанный для простоты использования, EntraFalcon работает на PowerShell 5.1 и 7, поддерживает Windows и Linux и не требует дополнительных модулей PowerShell, дополнительных установок или согласия Microsoft Graph API.

Инструмент помогает выявлять привилегированные объекты, потенциально рискованные назначения и ошибки конфигурации Conditional Access, которые часто упускаются из виду, например:

• Пользователи с контролем над группами или приложениями с высокими привилегиями
• Внешние или внутренние корпоративные приложения с чрезмерными разрешениями (например, Microsoft Graph API, роли Azure)
• Пользователи с прямыми назначениями ролей Azure IAM на ресурсах
• Привилегированные учетные записи, синхронизированные из локальной среды
• Неактивные пользователи или пользователи без поддержки MFA
• Незащищенные группы, используемые в чувствительных назначениях (например, исключения Conditional Access, владелец подписки или участник привилегированной группы с правом на назначение)

Результаты представлены в интерактивных HTML-отчетах для эффективного изучения и анализа.

🚀 Возможности

• Простой скрипт PowerShell, совместимый с PowerShell 5.1 и 7. Работает на Windows и Linux
• Встроенная аутентификация с поддержкой нескольких методов
• Использует собственные приложения Microsoft с предварительно согласованными областями для обхода запросов согласия Graph API
• Генерирует навигационные HTML-отчеты с поддержкой фильтрации, сортировки, экспорта данных и т. д.
• Выполняет более 90 автоматических проверок и обобщает результаты в отчете о выводах по безопасности
  • Включает проверки слабых конфигураций клиента и рискованных свойств или разрешений объектов
  • Предоставляет оценки серьезности, а также описания проблемы, потенциальных угроз и рекомендации по устранению
  • Перечисляет затронутые объекты и ссылки непосредственно на их подробные отчеты для дальнейшего расследования
• Выполняет базовую оценку воздействия, вероятности и риска для выделения слабо защищенных объектов с высокими привилегиями и сортировки данных
• Отображает предупреждения о рискованных конфигурациях и повышенных привилегиях
• Перечисляет объекты Entra ID, включая:
  • Пользователей (включая агентских пользователей)
  • Группы
  • Корпоративные приложения
  • Регистрации приложений
  • Управляемые удостоверения
  • Удостоверения агентов
  • Участников схемы удостоверений агентов
  • Схемы удостоверений агентов
  • Назначения PIM:
    • PIM для ролей Entra
    • PIM для групп
    • PIM для ролей Azure
  • Назначения ролей Entra
  • Назначения ролей Azure
  • Назначения RBAC Intune
  • Пакеты доступа
  • Каталоги управления правами
  • RBAC каталога
  • Политики Conditional Access
  • Административные единицы
  • Настройки PIM:
    • PIM для ролей Entra
    • PIM для групп (только аутентификация BroCi)

✅ Требования

Кроме того, вы должны иметь возможность аутентифицироваться в Microsoft Graph API и, при необходимости, в Azure ARM API с устройства, на котором запускаете инструмент. Убедитесь, что политики Conditional Access не блокируют вашу аутентификацию.

▶️ Использование

Загрузка EntraFalcon

Чтобы начать, клонируйте репозиторий и перейдите в каталог проекта:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Примечание: Возможно, вам потребуется временно изменить политику выполнения PowerShell, чтобы запустить скрипт.
Делайте это только для доверенных скриптов!```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

Запуск EntraFalcon

EntraFalcon включает встроенную поддержку аутентификации Entra ID. Используйте -AuthFlow для выбора потока аутентификации.

Для стандартных оценок используйте один из потоков с полным покрытием:

BroCi использует один интерактивный вход. BroCiToken и ServicePrincipal не используют ни одного. Резервные пользовательские потоки могут требовать нескольких интерактивных входов, поскольку запрашиваются отдельные токены ресурсов.

Рекомендуется: поток BroCi (по умолчанию / только Windows)

BroCi использует альтернативные сторонние приложения и требует только один интерактивный вход.
Он полезен, когда клиент Azure Active Directory PowerShell требует назначения и его необходимо избегать.```powershell .\run_EntraFalcon.ps1

Явный выбор BroCi:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

Рекомендуется: BroCi + Ручной поток кода```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. Скрипт копирует URL аутентификации в буфер обмена.
2. Вставьте URL в браузер (при необходимости на другом устройстве для поддержки SSO).
3. Откройте инструменты разработчика в браузере и на вкладке Network включите `Preserve log`.
4. Завершите аутентификацию.
5. Найдите в журнале сети `code=1.` и скопируйте URL запроса, содержащий код, в буфер обмена.
6. Нажмите Enter для продолжения; скрипт считывает код из буфера обмена и завершает получение токена.


#### Рекомендуется: BroCi с токеном
Если действительный refresh-токен Azure Portal уже доступен (клиент c44b4083-3bb0-49c1-b47d-974e53cbdf3c), его можно использовать напрямую.
Пример: получение refresh-токена из браузера
1. Откройте инструменты разработчика в браузере и на вкладке Network включите Preserve log.
2. Выполните аутентификацию на https://entra.microsoft.com.
3. Найдите в журнале сети `brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c` и извлеките refresh-токен из ответа.```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

Рекомендуется: Субъект-служба (Service Principal)

Аутентифицируется как зарегистрированное приложение с использованием предоставления учетных данных клиента OAuth2 — не требуется взаимодействие с пользователем. Полезно для повторяющихся автоматизированных выполнений.
Требуется регистрация пользовательского приложения Entra с разрешениями Graph API типа Application (см. ниже).

С клиентским секретом:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

**С сертификатом PFX:**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePath "C:\certs\app.pfx"

Для защищённого паролем PFX добавьте -SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString).

С PEM-сертификатом + закрытым ключом (только PowerShell 7+):```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Для зашифрованного закрытого ключа добавьте `-SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString)`.

##### Требуемые разрешения регистрации приложения
Предоставьте следующие разрешения **Application** (не Delegated) для регистрации приложения и подтвердите их с согласия администратора:

| Permission | Type |
|---|---|
| `AdministrativeUnit.Read.All` | Application |
| `AgentIdentity.Read.All` | Application |
| `AgentIdentityBlueprint.Read.All` | Application |
| `AgentIdentityBlueprintPrincipal.Read.All` | Application |
| `Application.Read.All` | Application |
| `AuditLog.Read.All` | Application |
| `Device.Read.All` | Application |
| `EntitlementManagement.Read.All` | Application |
| `Group.Read.All` | Application |
| `Organization.Read.All` | Application |
| `Policy.Read.All` | Application |
| `PrivilegedAccess.Read.AzureADGroup` | Application |
| `RoleManagement.Read.Directory` | Application |
| `RoleManagementPolicy.Read.AzureADGroup` | Application |
| `User.Read.All` | Application |
| `DeviceManagementRBAC.Read.All` | Application |

Кроме того, назначьте роль **Azure Reader** на корневой группе управления (или на каждой соответствующей подписке) и, при необходимости, роль **Global Reader** субъекту-службе в Entra ID (требуется для статуса MFA для каждого пользователя).

#### Запасной вариант: поток кода авторизации (только Windows)```powershell
.\run_EntraFalcon.ps1 -AuthFlow AuthCode

Fallback: Device Code Flow

В закалённых средах это часто ограничивается условным доступом (Conditional Access).
При использовании DeviceCode выполняются две проверки Security Findings с уменьшенной глубиной (CAP-004 и CAP-005).```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

#### Fallback: Auth Code + Manual Code Flow```powershell
.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. Скрипт копирует URL аутентификации в буфер обмена.
2. Вставьте URL в браузер (при необходимости на другом устройстве для поддержки SSO).
3. Завершите аутентификацию.
4. Скопируйте финальный URL перенаправления из адресной строки браузера (содержащий код авторизации) в буфер обмена.
5. Нажмите Enter для продолжения; скрипт считывает код из буфера обмена и завершает получение токена.

Другие параметры

Включение корпоративных приложений Microsoft

По умолчанию официальные корпоративные приложения Microsoft исключаются из оценки для снижения уровня шума. Чтобы включить их в перечисление и анализ, используйте параметр -IncludeMsApps:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### Пропустить оценку PIM для групп
Используйте параметр `-SkipPimForGroups`, чтобы пропустить предварительный сбор и обогащение данных PIM для групп.  
Это также пропускает отдельный отчет о настройках `PIM для групп`.```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

Другие необязательные параметры

📊 Примеры некоторых отчетов

Отчет о выводах по безопасности

Пользователи

Пользователи (раздел «Сведения»)

Роли Entra ID

Роли Azure

Корпоративное приложение (раздел «Сведения»)

Политики условного доступа

Политики условного доступа (раздел «Сведения»)

Параметры ролей PIM (Entra)

Удостоверения агентов

Сводка перечисления

📑 HTML-отчет

Общее

• Нажмите кнопку ⚙️ Columns, чтобы показать или скрыть определенные столбцы.
• Нажмите 💾 Export, чтобы загрузить CSV/JSON или скопировать CSV/TSV/JSON текущих видимых данных.
• Нажмите 👁 Share View, чтобы скопировать фильтры, сортировку и выбор столбцов в виде ссылки для совместного использования.
• Нажмите 🧰 Preset Views, чтобы применить предварительно настроенные фильтры и выбор столбцов.
• Нажмите 🔄 Reset View, чтобы сбросить представление к значению по умолчанию.
• Нажмите на имена объектов, чтобы перейти к подробной информации, даже в других отчетах.
• При использовании внутренней навигации нажмите кнопку «Назад» браузера, чтобы вернуться.
• Некоторые заголовки полей таблицы отображают вспомогательный текст при наведении курсора мыши.
• Сортируйте данные, нажимая на заголовок таблицы.
• Alt+щелчок по заголовку основного столбца таблицы позволяет быстро скрыть этот столбец.
• Alt+щелчок по строке содержимого основной таблицы позволяет временно скрыть ее. Используйте чип скрытых строк или Reset View, чтобы снова показать скрытые строки.

Фильтрация

• Если оператор не указан, фильтрация по умолчанию использует содержит.
• Используйте = для точного совпадения.
• Используйте ^ для начинается с (например, ^Mallory).
• Используйте $ для заканчивается на (например, $domain.ch).
• Поддерживаются операторы сравнения, такие как >, <, >=, <= (только для числовых значений).
• Фильтры можно инвертировать, начиная с ! (кроме числовых сравнений). Примеры: !Mallory, !=Mallory, !^Mallory или !$domain.ch.
• Используйте =empty для сопоставления пустых ячеек или !=empty для сопоставления непустых ячеек.
• Используйте || для сопоставления любого из нескольких значений в одном столбце (например, Admin || Guest).
• Используйте && для требования нескольких совпадений в одном столбце (например, !adm && !svc && !sql).
• Чтобы применить логику ИЛИ по столбцам, используйте or_, group1_, group2_... непосредственно в поле фильтра. Примеры: в столбце 1: or_>1, в столбце 2: or_!Mallory
• Примечание: Столбец DisplayName также включает идентификатор объекта (невидимый), поэтому фильтрация по идентификатору также возможна.

Управление с помощью GET-параметров

• Фильтрация: Применяйте фильтры, используя имена полей в качестве HTTP GET-параметров, например, ?EntraRoles=>1&Enabled=true.
  Чтобы применить логику ИЛИ по столбцам, используйте префикс or_ или group1_ (например, ?or_EntraRoles=>0&or_GrpMem=>0).
• Выбор столбцов: Выбирайте, какие столбцы отображать, с помощью параметра columns. Пример: ?columns=DisplayName,Owner.
• Сортировка: Сортируйте данные с помощью параметров sort и sortDir. Пример: ?sort=Impact&sortDir=desc или ?sort=OwnerCount&sortDir=asc.
• Сведения об объекте: Переходите непосредственно к конкретному объекту в отчете, используя якорь (#) и идентификатор объекта, например, #%ObjectID%.

Оценка

• Impact: Представляет объем или серьезность разрешений, которыми обладает объект.
• Likelihood: Показывает, насколько легко на объект можно повлиять или насколько хорошо он защищен.
• Risk: Рассчитанный балл: Impact × Likelihood = Risk.
• Важно:
  • Эта оценка предназначена как базовая оценка, помогающая сортировать и расставлять приоритеты записей в таблице.
  • Баллы риска не сопоставимы напрямую между различными типами объектов или отчетами.
  • Она не предназначена для замены полной оценки рисков.

🔧Под капотом

Категоризация ролей

Роли Entra ID и Azure приблизительно категоризируются по разным уровням. Эта категоризация влияет на баллы воздействия объектов, которым назначены эти роли. Цель состоит в том, чтобы назначать более высокий балл воздействия пользователям с более мощными ролями (например, Global Administrator) по сравнению с пользователями с менее критичными ролями (например, Global Reader), даже если обе считаются привилегированными ролями Microsoft.

Примечание: Для ролей Azure эта категоризация менее точна, поскольку фактическое воздействие сильно зависит от области назначения роли. Например, роль Owner на одной виртуальной машине имеет значительно меньшее воздействие, чем когда та же роль применяется ко всей подписке. Это также может быть тестовая подписка без каких-либо ресурсов.

Категоризация разрешений API

Некоторые разрешения API позволяют приложению напрямую повышать привилегии до Global Administrator. Поэтому несколько разрешений API категоризируются по разным уровням серьезности. Эта категоризация влияет на балл воздействия приложений, которым назначены эти разрешения — либо как разрешения приложения, либо как делегированные разрешения для пользователей.

Корпоративные приложения Microsoft (First-Party)

По умолчанию приложения Microsoft отфильтровываются, чтобы упростить проверку корпоративных приложений. Используйте параметр -IncludeMsApps, чтобы включить их. Приложения из следующих тенантов считаются принадлежащими Microsoft:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Выполняемые проверки

В следующей таблице кратко перечислены выполняемые проверки, их влияние на оценку и отображается ли предупреждение.

🛡️ Обнаружение

EntraFalcon не является скрытным инструментом и может быть обнаружен в средах, где ведётся журналирование и мониторинг Microsoft Graph API и активности входа в Azure.

Используемая аутентификация по умолчанию

При выполнении полной перечислительной проверки с потоками, отличными от BroCi, инструмент обычно инициирует четыре интерактивных входа и один неинтерактивный вход. В зависимости от потока и поддержки конечных точек может произойти один дополнительный интерактивный вход для конечных точек политик Security Findings.

Используемая аутентификация BroCi

При использовании аутентификации BroCi происходит только один интерактивный вход.

Когда BroCi включён, EntraFalcon также запрашивает api.azrbac.mspim.azure.com для PIM для групп.

Подробности

Для сбора данных инструмент отправляет несколько запросов к Microsoft Graph API и, при необходимости, к Azure ARM API — один или несколько на объект. Где возможно, он использует конечную точку Graph Batch для сокращения количества отдельных запросов и повышения эффективности.

Интерактивные входы используют User-Agent браузера. Все неинтерактивные входы и запросы API (Graph и ARM) используют EntraFalcon в качестве User-Agent, если это не изменено параметром -UserAgent.

Для обнаружения использования EntraFalcon синие команды могут отслеживать перечисленные идентификаторы приложений в журналах входа, искать необычные объёмы трафика Graph API или анализировать поведение обновления токенов и пакетных запросов.

🕳️ Известные ограничения

• M365 RBAC: не оценивается
• Defender for Endpoint RBAC: не оценивается
• Покрытие пользователей Conditional Access: эффективное покрытие пользователей и -ExportCapUncoveredUsers являются расчётными значениями по принципу «наилучшего усилия» на основе перечисленных пользователей, участников групп, назначений ролей и разрешимых категорий внешних пользователей. Селекторы внешних пользователей разрешаются только для гостевых пользователей клиента, соответствующих b2bCollaborationGuest. Другие типы внешних пользователей или внешние пользователи с указанными внешними клиентами могут сделать значения покрытия приблизительными. Пути PIM с правом сообщаются как потенциальное покрытие и не учитываются как текущее покрытие. Экспорт в CSV ограничен включёнными политиками и включёнными пользователями.
• Облачная среда: облачные платформы быстро развиваются. В результате некоторые оценки или обнаружения могут со временем устареть или стать неточными. Кроме того, клиенты становятся всё более сложными, и конкретные конфигурации или комбинации настроек могут приводить к неточным результатам. Хотя мы стремимся поддерживать EntraFalcon в актуальном состоянии, всегда рекомендуется независимо проверять результаты и не полагаться исключительно на инструмент для критически важных решений.
• HTML-отчёты: создаваемые HTML-отчёты не реализуют механизмы защиты от межсайтового скриптинга (XSS).

📦 Интегрированные внешние инструменты

Следующие подмодули были форкнуты и интегрированы в EntraFalcon для поддержки аутентификации, взаимодействия с Microsoft Graph и диаграмм отчётов:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js