EntraFalcon

EntraFalcon — это инструмент оценки на базе PowerShell для пентестеров, аналитиков безопасности и системных администраторов, предназначенный для оценки уровня безопасности среды Microsoft Entra ID.

Разработанный для простоты использования, EntraFalcon работает на PowerShell 5.1 и 7, поддерживает Windows и Linux и не требует дополнительных модулей PowerShell, дополнительных установок или согласия Microsoft Graph API.

Инструмент помогает выявлять привилегированные объекты, потенциально рискованные назначения и ошибки конфигурации Conditional Access, которые часто остаются незамеченными, например:

• Пользователи, имеющие контроль над высокопривилегированными группами или приложениями
• Внешние или внутренние корпоративные приложения с избыточными разрешениями (например, Microsoft Graph API, роли Azure)
• Пользователи с назначениями ролей Azure IAM непосредственно на ресурсах
• Привилегированные учётные записи, синхронизированные из локальной среды
• Неактивные пользователи или пользователи без возможности MFA
• Незащищённые группы, используемые в чувствительных назначениях (например, исключения Conditional Access, Subscription Owner или eligible member привилегированной группы)

Результаты представляются в интерактивных HTML-отчётах для эффективного изучения и анализа.

🚀 Возможности

• Простой скрипт PowerShell, совместимый с PowerShell 5.1 и 7. Работает на Windows и Linux
• Встроенная аутентификация с поддержкой нескольких методов
• Использует first-party приложения Microsoft с предварительно согласованными областями для обхода запросов согласия Graph API
• Генерирует навигируемые HTML-отчёты с поддержкой фильтрации, сортировки, экспорта данных и т. д.
• Выполняет более 90 автоматических проверок и обобщает результаты в Security Findings Report
  • Включает проверки слабых конфигураций тенанта и рискованных свойств или разрешений объектов
  • Предоставляет оценки серьёзности, а также описания проблемы, потенциальных угроз и рекомендации по устранению
  • Перечисляет затронутые объекты и ссылается напрямую на их подробные отчёты для дальнейшего исследования
• Выполняет базовую оценку воздействия, вероятности и риска для выделения слабо защищённых высокопривилегированных объектов и сортировки данных.
• Отображает предупреждения о рискованных конфигурациях и повышенных привилегиях
• Перечисляет объекты Entra ID, включая:
  • Пользователи (включая Agent Users)
  • Группы
  • Корпоративные приложения
  • Регистрации приложений
  • Управляемые удостоверения
  • Удостоверения агентов
  • Субъекты схемы удостоверений агентов
  • Схемы удостоверений агентов
  • Назначения PIM:
    • PIM для ролей Entra
    • PIM для групп
    • PIM для ролей Azure
  • Назначения ролей Entra
  • Назначения ролей Azure
  • Назначения Intune RBAC
  • Пакеты доступа
  • Каталоги управления правами
  • RBAC каталога
  • Политики Conditional Access
  • Административные единицы
  • Параметры PIM:
    • PIM для ролей Entra
    • PIM для групп (только аутентификация BroCi)

✅ Требования

Тип	Разрешение	Обязательно	Влияние при отсутствии
Роль Entra ID	Global Reader	Да	Невозможно запустить скрипты
Роль Azure	Reader: на каждой Management Group или Subscription	Нет	Невозможно оценить назначения Azure IAM

Кроме того, вы должны иметь возможность аутентифицироваться в Microsoft Graph API и, опционально, в Azure ARM API с устройства, на котором запускаете инструмент. Убедитесь, что политики Conditional Access не блокируют вашу аутентификацию.

▶️ Использование

Загрузка EntraFalcon

Для начала клонируйте репозиторий и перейдите в каталог проекта:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Примечание: возможно, потребуется временно изменить политику выполнения PowerShell, чтобы запустить скрипт.
Делайте это только для доверенных скриптов!```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

Запуск EntraFalcon

EntraFalcon включает встроенную поддержку аутентификации Entra ID. Используйте -AuthFlow для выбора потока аутентификации.

Для обычных проверок используйте один из потоков с полным покрытием:

Рекомендуемый поток	Лучше всего подходит для	Платформа	Покрытие
BroCi (по умолчанию)	Интерактивные запуски в Windows	Windows	Полное
BroCiManualCode	Аутентификация в другом браузере	Windows, Linux, macOS	Полное
BroCiToken	Существующий refresh-токен Azure Portal	Windows, Linux, macOS	Полное
ServicePrincipal	Автоматизация / CI	Windows, Linux, macOS	Полное

BroCi использует один интерактивный вход. BroCiToken и ServicePrincipal не используют ни одного. Резервные пользовательские потоки могут требовать нескольких интерактивных входов, поскольку запрашиваются отдельные токены для ресурсов.

Резервные потоки аутентификации

Из-за отсутствия предварительно согласованных приложений первой стороны резервные потоки не могут выполнить полное перечисление (PIM for Groups, Access Packages, Catalogs). Поэтому в настоящее время они остаются только резервными вариантами.

Поток	Использовать только когда	Платформа	Ограничения
AuthCode	Требуется поддержка устаревших систем	Windows	Частичное покрытие. Нет отдельного отчёта по PIM for Groups, Access Packages или Catalogs.
DeviceCode	Аутентификация через браузер невозможна	Windows, Linux, macOS	Частичное покрытие. Нет отдельного отчёта по PIM for Groups, Access Packages или Catalogs. Некоторые проверки Security Findings выполняются с уменьшенной глубиной.
ManualCode	Аутентификация должна быть выполнена через отдельный сеанс браузера	Windows, Linux, macOS	Частичное покрытие. Нет отдельного отчёта по PIM for Groups, Access Packages или Catalogs.

Рекомендуется: поток BroCi (по умолчанию / только Windows)

BroCi использует альтернативные приложения первой стороны и требует только одного интерактивного входа.
Это полезно, когда клиент Azure Active Directory PowerShell требует назначения и его необходимо избегать.```powershell .\run_EntraFalcon.ps1

Явный выбор BroCi:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

Рекомендуется: BroCi + ручной поток кода```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. Скрипт копирует URL аутентификации в буфер обмена.
2. Вставьте URL в браузер (при необходимости на другом устройстве для поддержки SSO).
3. Откройте инструменты разработчика браузера и на вкладке Network включите `Preserve log`.
4. Завершите аутентификацию.
5. Найдите в сетевом журнале `code=1.` и скопируйте URL запроса, содержащий код, в буфер обмена.
6. Нажмите Enter, чтобы продолжить; скрипт считает код из буфера обмена и завершит получение токена.


#### Рекомендуется: BroCi с токеном
Если уже доступен действительный refresh-токен Azure Portal (client c44b4083-3bb0-49c1-b47d-974e53cbdf3c), его можно использовать напрямую.
Пример: получение refresh-токена из браузера
1. Откройте инструменты разработчика браузера и на вкладке Network включите Preserve log.
2. Пройдите аутентификацию на https://entra.microsoft.com.
3. Найдите в сетевом журнале `brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c` и извлеките refresh-токен из ответа.```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

Рекомендуется: субъект-служба

Выполняет аутентификацию как зарегистрированное приложение с использованием предоставления учётных данных клиента OAuth2 — взаимодействие с пользователем не требуется. Полезно для повторяющихся автоматизированных запусков.
Требуется пользовательская регистрация приложения Entra с разрешениями Graph API типа Application (см. ниже).