EntraFalcon

EntraFalcon — это инструмент оценки на базе PowerShell для пентестеров, аналитиков безопасности и системных администраторов, предназначенный для оценки уровня безопасности среды Microsoft Entra ID.

Благодаря простоте использования EntraFalcon работает на PowerShell 5.1 и 7, поддерживает Windows и Linux и не требует дополнительных модулей PowerShell, дополнительных установок или согласия Microsoft Graph API.

Инструмент помогает выявлять привилегированные объекты, потенциально рискованные назначения и ошибки конфигурации Conditional Access, которые часто упускаются из виду, например:

• Пользователи с контролем над группами или приложениями с высокими привилегиями
• Внешние или внутренние корпоративные приложения с чрезмерными разрешениями (например, Microsoft Graph API, роли Azure)
• Пользователи с назначениями ролей Azure IAM непосредственно на ресурсах
• Привилегированные учетные записи, синхронизированные из локальной среды
• Неактивные пользователи или пользователи без поддержки MFA
• Незащищенные группы, используемые в чувствительных назначениях (например, исключения Conditional Access, владелец подписки или подходящий участник привилегированной группы)

Результаты представлены в интерактивных HTML-отчетах для эффективного исследования и анализа.

🚀 Возможности

• Простой скрипт PowerShell, совместимый с PowerShell 5.1 и 7. Работает на Windows и Linux
• Встроенная аутентификация с поддержкой нескольких методов
• Использует собственные приложения Microsoft с предварительно согласованными областями (scopes), чтобы обходить запросы согласия Graph API
• Формирует навигационные HTML-отчеты с поддержкой фильтрации, сортировки, экспорта данных и т. д.
• Выполняет более 80 автоматических проверок и обобщает результаты в отчете Security Findings Report
  • Включает проверки слабых конфигураций тенанта и рискованных свойств объектов или разрешений
  • Предоставляет оценки уровня серьезности, а также описания проблемы, потенциальных угроз и рекомендации по устранению
  • Перечисляет затронутые объекты и дает прямые ссылки на их подробные отчеты для дальнейшего расследования
• Выполняет базовую оценку воздействия, вероятности и риска, чтобы выделять слабо защищенные объекты с высокими привилегиями и сортировать данные.
• Отображает предупреждения о рискованных конфигурациях и повышенных привилегиях
• Перечисляет объекты Entra ID, включая:
  • Пользователей (включая Agent Users)
  • Группы
  • Корпоративные приложения
  • Регистрации приложений
  • Управляемые удостоверения
  • Удостоверения агентов (BETA)
  • Субъекты blueprint удостоверений агентов (BETA)
  • Blueprints удостоверений агентов (BETA)
  • Назначения PIM:
    • PIM для ролей Entra
    • PIM для групп Entra
    • PIM для ролей Azure
  • Назначения ролей Entra
  • Назначения ролей Azure
  • Политики условного доступа
  • Административные единицы
  • Настройки PIM:
    • PIM для ролей Entra
    • PIM для групп (только аутентификация BroCi)

✅ Requirements

Кроме того, вы должны иметь возможность проходить аутентификацию в Microsoft Graph API и, при необходимости, в Azure ARM API с устройства, на котором запускаете инструмент. Убедитесь, что политики условного доступа не блокируют вашу аутентификацию.

▶️ Использование

Загрузка EntraFalcon

Чтобы начать, клонируйте репозиторий и перейдите в каталог проекта:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Примечание: Возможно, вам потребуется временно изменить политику выполнения PowerShell, чтобы запустить скрипт.
Делайте это только для доверенных скриптов!```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

Запуск EntraFalcon

EntraFalcon включает встроенную поддержку аутентификации Entra ID.
Доступно несколько потоков аутентификации для поддержки различных сред и ограничений.
В зависимости от выбранного потока может потребоваться несколько интерактивных аутентификаций.

Используйте -AuthFlow для выбора потока аутентификации.

Использование потока BroCi (по умолчанию / только Windows)

BroCi использует альтернативные собственные приложения и требует только один интерактивный вход.
Он также полезен, когда клиент Azure Active Directory PowerShell требует назначения пользователей и его необходимо избегать.```powershell .\run_EntraFalcon.ps1

Явный выбор BroCi:```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

Поток кода авторизации (только для Windows)```powershell

.\run_EntraFalcon.ps1 -AuthFlow AuthCode

#### Device Code Flow
Он часто ограничивается с помощью Conditional Access в усиленных средах.  
С помощью `DeviceCode` две проверки Security Findings выполняются с уменьшенной глубиной (`CAP-004` и `CAP-005`).```powershell
.\run_EntraFalcon.ps1 -AuthFlow DeviceCode

Используйте код авторизации + ручной поток кода для аутентификации```powershell

.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. Скрипт копирует URL аутентификации в буфер обмена.
2. Вставьте URL в браузер (при необходимости на другом устройстве для поддержки SSO).
3. Завершите аутентификацию.
4. Скопируйте итоговый URL перенаправления из адресной строки браузера (содержащий код авторизации) в буфер обмена.
5. Нажмите Enter для продолжения; скрипт читает код из буфера обмена и завершает получение токена.


#### BroCi + ручной поток кода```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. Скрипт копирует URL аутентификации в буфер обмена.
2. Вставьте URL в браузер (при необходимости на другом устройстве для поддержки SSO).
3. Откройте инструменты разработчика в браузере и на вкладке Network включите Preserve log.
4. Завершите аутентификацию.
5. Найдите в журнале сети code=1. и скопируйте URL запроса, содержащий код, в буфер обмена.
6. Нажмите Enter для продолжения; скрипт считывает код из буфера обмена и завершает получение токена.

BroCi с токеном

Если действительный refresh-токен портала Azure уже доступен (клиент c44b4083-3bb0-49c1-b47d-974e53cbdf3c), его можно использовать напрямую. Пример: получение refresh-токена из браузера

1. Откройте инструменты разработчика в браузере и на вкладке Network включите Preserve log.
2. Выполните аутентификацию на https://entra.microsoft.com.
3. Найдите в журнале сети brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c и извлеките refresh-токен из ответа.```powershell .\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

#### Service Principal
Выполняет проверку подлинности как зарегистрированное приложение с использованием предоставления учетных данных клиента OAuth2 — взаимодействие с пользователем не требуется.  
Полезно для автоматизированного выполнения.  
Требует настраиваемой регистрации приложения Entra с разрешениями Graph API типа `Application` (см. ниже).

**С секретом клиента:**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPClientSecret "<Secret>"

С сертификатом PFX:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePath "C:\certs\app.pfx"

Для защищённого паролем PFX добавьте `-SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString)`.

**С PEM-сертификатом и закрытым ключом (только PowerShell 7+):**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Для зашифрованного закрытого ключа добавьте -SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString).

Требуемые разрешения регистрации приложения

Предоставьте регистрации приложения следующие разрешения приложения (не делегированные) и дайте на них согласие администратора:

Кроме того, назначьте роль Azure Reader в корневой группе управления (или в каждой соответствующей подписке) и, при необходимости, роль Global Reader субъекту-службе в Entra ID (требуется для статуса MFA для каждого пользователя).

Другие параметры

Включение корпоративных приложений Microsoft

По умолчанию официальные корпоративные приложения Microsoft исключаются из оценки для уменьшения шума. Чтобы включить их в перечисление и анализ, используйте переключатель -IncludeMsApps:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### Пропустить оценку PIM for Groups
Используйте параметр `-SkipPimForGroups`, чтобы пропустить предварительный сбор и обогащение данных для PIM-for-Groups.  
Это также пропускает отдельный отчет о настройках `PIM (Groups)`.```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

Другие необязательные параметры

📊 Примеры отчётов

Отчёт о результатах безопасности

Пользователи

Пользователи (раздел сведений)

Роли Entra ID

Роли Azure

Корпоративное приложение (раздел сведений)

Политики условного доступа

Политики условного доступа (раздел сведений)

Параметры ролей PIM (Entra)

Удостоверения агентов

Сводка перечисления

📑 HTML-отчёт

Общие сведения

• Нажмите кнопку ⚙️ Columns, чтобы показать или скрыть отдельные столбцы.
• Нажмите 💾 Export CSV, чтобы скачать отображаемые в данный момент данные в виде CSV-файла.
• Нажмите 👁 Share View, чтобы скопировать фильтры, сортировку и выбранные столбцы в виде ссылки для совместного доступа.
• Нажмите 🧰 Preset Views, чтобы применить предварительно настроенные фильтры и выбор столбцов.
• Нажмите 🔄 Reset View, чтобы сбросить представление к состоянию по умолчанию.
• Щёлкните по имени объекта, чтобы перейти к подробным сведениям, даже если они находятся в других отчётах.
• При использовании внутренней навигации нажмите кнопку «Назад» браузера, чтобы вернуться обратно.
• Некоторые поля заголовков таблиц отображают всплывающую подсказку при наведении курсора мыши.
• Сортируйте данные, щёлкая по заголовку таблицы.

Фильтрация

• Если оператор не указан, фильтрация по умолчанию использует содержит.
• Используйте = для точного совпадения.
• Используйте ^ для начинается с (например, ^Mallory).
• Используйте $ для заканчивается на (например, $domain.ch).
• Поддерживаются операторы сравнения >, <, >=, <= (только для числовых значений).
• Фильтры можно инвертировать, начиная с ! (кроме числовых сравнений). Примеры: !Mallory, !=Mallory, !^Mallory или !$domain.ch.

Управление с помощью GET-параметров

• Фильтрация: Применяйте фильтры, используя имена полей в качестве HTTP GET-параметров, например ?EntraRoles=>1&Enabled=true.
  Чтобы применить логику ИЛИ между столбцами, используйте префикс or_ или group1_ (например, ?or_EntraRoles=>0&or_GrpMem=>0).
• Выбор столбцов: Выберите, какие столбцы отображать, с помощью параметра columns. Пример: ?columns=DisplayName,Owner.
• Сортировка: Сортируйте данные с помощью параметров sort и sortDir. Пример: ?sort=Impact&sortDir=desc или ?sort=OwnerCount&sortDir=asc.
• Сведения об объекте: Перейдите непосредственно к определённому объекту в отчёте, используя якорь (#) и идентификатор объекта, например #%ObjectID%.

Оценка

• Impact (влияние): показывает объём или серьёзность разрешений, которыми обладает объект.
• Likelihood (вероятность): показывает, насколько легко на объект можно повлиять или насколько хорошо он защищён.
• Risk (риск): вычисляемая оценка: Impact × Likelihood = Risk.
• Важно:
  • Эта оценка предназначена как базовое средство для сортировки и приоритизации записей в таблице.
  • Показатели риска не сопоставимы напрямую между различными типами объектов или отчётами.
  • Она не предназначена для замены полной оценки рисков.

🔧Внутреннее устройство

Категоризация ролей

Роли Entra ID и Azure примерно распределяются по различным уровням (tier). Эта категоризация влияет на показатели влияния объектов, которым назначены эти роли. Цель — назначать более высокий показатель влияния пользователям с более мощными ролями (например, Global Administrator) по сравнению с пользователями с менее критичными ролями (например, Global Reader), даже если обе роли считаются Microsoft привилегированными.

Примечание: Для ролей Azure эта категоризация менее точна, поскольку фактическое влияние сильно зависит от области назначения роли. Например, роль Owner на одной виртуальной машине имеет значительно меньшее влияние, чем та же роль, применённая ко всей подписке. Это также может быть тестовая подписка без каких-либо ресурсов.

Категоризация разрешений API

Некоторые разрешения API позволяют приложению напрямую повышать привилегии до уровня Global Administrator. Поэтому ряд разрешений API классифицируется по различным уровням серьёзности. Эта категоризация влияет на показатель влияния приложений, которым назначены эти разрешения — либо как разрешения приложения, либо как делегированные разрешения для пользователей.

Собственные корпоративные приложения Microsoft

По умолчанию приложения Microsoft отфильтровываются, чтобы упростить проверку корпоративных приложений. Используйте параметр -IncludeMsApps, чтобы включить их. Приложения из следующих клиентов считаются принадлежащими Microsoft:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Выполняемые проверки

В приведённой ниже таблице в общих чертах описаны выполняемые проверки, их влияние на итоговый балл и то, отображается ли предупреждение.

🛡️ Обнаружение

EntraFalcon не является скрытным и может быть обнаружен в средах, где регистрируются и отслеживаются операции Microsoft Graph API и входы в Azure.

Используемая аутентификация по умолчанию

При полном перечислении с использованием потоков non-BroCi инструмент обычно выполняет четыре интерактивных входа и один неинтерактивный вход. В зависимости от потока и поддержки конечных точек может произойти один дополнительный интерактивный вход для конечных точек политики Security Findings.

Используемая аутентификация BroCi

При использовании аутентификации BroCi происходит только один интерактивный вход.

Когда BroCi включен, EntraFalcon также запрашивает api.azrbac.mspim.azure.com для PIM для групп.

Подробности

Для сбора данных инструмент отправляет несколько запросов к Microsoft Graph API и, опционально, к Azure ARM API — по одному или более на объект. Там, где это возможно, он использует конечную точку Graph Batch для уменьшения количества отдельных запросов и повышения эффективности.

Интерактивные входы используют User-Agent браузера. Все неинтерактивные входы и API-запросы (Graph и ARM) используют EntraFalcon в качестве User-Agent, если не изменено с помощью параметра -UserAgent.

Чтобы обнаружить использование EntraFalcon, синие команды могут отслеживать перечисленные идентификаторы приложений в журналах входа, искать необычные объёмы трафика Graph API или анализировать поведение обновления токенов и пакетных запросов.

🕳️ Известные ограничения

• M365 RBAC: Не оценивалось
• Defender for Endpoint RBAC: Не оценивалось
• Intune RBAC: Не оценивалось
• Охват пользователей Conditional Access: Фактический охват пользователей и -ExportCapUncoveredUsers — это расчёты по принципу best-effort, основанные на перечисленных пользователях, членах групп, назначениях ролей и разрешимых категориях внешних пользователей. Селекторы внешних пользователей разрешаются только для гостевых пользователей клиента, соответствующих b2bCollaborationGuest. Другие типы внешних пользователей или внешние пользователи с указанными внешними клиентами могут делать значения охвата приблизительными. Eligible PIM-пути сообщаются как потенциальный охват и не учитываются как охваченные в настоящее время. Экспорт в CSV ограничен включёнными политиками и включёнными пользователями.
• Облачная среда: Облачные платформы быстро развиваются. В результате некоторые оценки или обнаружения со временем могут устаревать или становиться неточными. Кроме того, тенанты становятся всё более сложными, и отдельные конфигурации или комбинации настроек могут приводить к неточным результатам. Хотя мы стараемся поддерживать EntraFalcon в актуальном состоянии, всегда рекомендуется независимо проверять результаты и не полагаться исключительно на инструмент при принятии критических решений.
• HTML-отчёты: Сгенерированные HTML-отчёты не реализуют механизмы защиты от межсайтового скриптинга (XSS).

📦 Интегрированные внешние инструменты

Следующие подмодули были форкнуты и интегрированы в EntraFalcon для поддержки аутентификации, взаимодействия с Microsoft Graph и построения диаграмм в отчётах:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js