• Включает проверки слабых конфигураций клиента и рискованных свойств или разрешений объектов
• Предоставляет оценки серьезности, а также описания проблемы, потенциальных угроз и рекомендации по устранению
• Перечисляет затронутые объекты и ссылки непосредственно на их подробные отчеты для дальнейшего расследования

✅ Требования

Кроме того, вы должны иметь возможность аутентифицироваться в Microsoft Graph API и, при необходимости, в Azure ARM API с устройства, на котором запускаете инструмент. Убедитесь, что политики Conditional Access не блокируют вашу аутентификацию.

▶️ Использование

Загрузка EntraFalcon

Чтобы начать, клонируйте репозиторий и перейдите в каталог проекта:```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

Запуск EntraFalcon

EntraFalcon включает встроенную поддержку аутентификации Entra ID. Используйте -AuthFlow для выбора потока аутентификации.

Для стандартных оценок используйте один из потоков с полным покрытием:

BroCi использует один интерактивный вход. BroCiToken и ServicePrincipal не используют ни одного. Резервные пользовательские потоки могут требовать нескольких интерактивных входов, поскольку запрашиваются отдельные токены ресурсов.

Рекомендуется: поток BroCi (по умолчанию / только Windows)

BroCi использует альтернативные сторонние приложения и требует только один интерактивный вход.
Он полезен, когда клиент Azure Active Directory PowerShell требует назначения и его необходимо избегать.```powershell .\run_EntraFalcon.ps1

Рекомендуется: BroCi + Ручной поток кода```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

Рекомендуется: Субъект-служба (Service Principal)

Аутентифицируется как зарегистрированное приложение с использованием предоставления учетных данных клиента OAuth2 — не требуется взаимодействие с пользователем. Полезно для повторяющихся автоматизированных выполнений.
Требуется регистрация пользовательского приложения Entra с разрешениями Graph API типа Application (см. ниже).

С клиентским секретом:```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

Для защищённого паролем PFX добавьте -SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString).

С PEM-сертификатом + закрытым ключом (только PowerShell 7+):```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

Fallback: Device Code Flow

В закалённых средах это часто ограничивается условным доступом (Conditional Access).
При использовании DeviceCode выполняются две проверки Security Findings с уменьшенной глубиной (CAP-004 и CAP-005).```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

1. Скрипт копирует URL аутентификации в буфер обмена.
2. Вставьте URL в браузер (при необходимости на другом устройстве для поддержки SSO).
3. Завершите аутентификацию.
4. Скопируйте финальный URL перенаправления из адресной строки браузера (содержащий код авторизации) в буфер обмена.
5. Нажмите Enter для продолжения; скрипт считывает код из буфера обмена и завершает получение токена.

Другие параметры

Включение корпоративных приложений Microsoft

По умолчанию официальные корпоративные приложения Microsoft исключаются из оценки для снижения уровня шума. Чтобы включить их в перечисление и анализ, используйте параметр -IncludeMsApps:```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

Другие необязательные параметры

📊 Примеры некоторых отчетов

Отчет о выводах по безопасности

Пользователи

Пользователи (раздел «Сведения»)

Роли Entra ID

Роли Azure

Корпоративное приложение (раздел «Сведения»)

Политики условного доступа

Политики условного доступа (раздел «Сведения»)

Параметры ролей PIM (Entra)

Удостоверения агентов

Сводка перечисления

📑 HTML-отчет

Общее

• Нажмите кнопку ⚙️ Columns, чтобы показать или скрыть определенные столбцы.
• Нажмите 💾 Export, чтобы загрузить CSV/JSON или скопировать CSV/TSV/JSON текущих видимых данных.
• Нажмите 👁 Share View, чтобы скопировать фильтры, сортировку и выбор столбцов в виде ссылки для совместного использования.
• Нажмите 🧰 Preset Views, чтобы применить предварительно настроенные фильтры и выбор столбцов.
• Нажмите 🔄 Reset View, чтобы сбросить представление к значению по умолчанию.
• Нажмите на имена объектов, чтобы перейти к подробной информации, даже в других отчетах.
• При использовании внутренней навигации нажмите кнопку «Назад» браузера, чтобы вернуться.
• Некоторые заголовки полей таблицы отображают вспомогательный текст при наведении курсора мыши.
• Сортируйте данные, нажимая на заголовок таблицы.
• Alt+щелчок по заголовку основного столбца таблицы позволяет быстро скрыть этот столбец.
• Alt+щелчок по строке содержимого основной таблицы позволяет временно скрыть ее. Используйте чип скрытых строк или Reset View, чтобы снова показать скрытые строки.

Фильтрация

• Если оператор не указан, фильтрация по умолчанию использует содержит.
• Используйте = для точного совпадения.
• Используйте ^ для начинается с (например, ^Mallory).
• Используйте $ для заканчивается на (например, $domain.ch).
• Поддерживаются операторы сравнения, такие как >, <, >=, <= (только для числовых значений).
• Фильтры можно инвертировать, начиная с ! (кроме числовых сравнений). Примеры: !Mallory, !=Mallory, !^Mallory или !$domain.ch.
• Используйте =empty для сопоставления пустых ячеек или !=empty для сопоставления непустых ячеек.
• Используйте || для сопоставления любого из нескольких значений в одном столбце (например, Admin || Guest).
• Используйте && для требования нескольких совпадений в одном столбце (например, !adm && !svc && !sql).
• Чтобы применить логику ИЛИ по столбцам, используйте or_, group1_, group2_... непосредственно в поле фильтра. Примеры: в столбце 1: or_>1, в столбце 2: or_!Mallory
• Примечание: Столбец DisplayName также включает идентификатор объекта (невидимый), поэтому фильтрация по идентификатору также возможна.

Управление с помощью GET-параметров

• Фильтрация: Применяйте фильтры, используя имена полей в качестве HTTP GET-параметров, например, ?EntraRoles=>1&Enabled=true.
  Чтобы применить логику ИЛИ по столбцам, используйте префикс or_ или group1_ (например, ?or_EntraRoles=>0&or_GrpMem=>0).
• Выбор столбцов: Выбирайте, какие столбцы отображать, с помощью параметра columns. Пример: ?columns=DisplayName,Owner.
• Сортировка: Сортируйте данные с помощью параметров sort и sortDir. Пример: ?sort=Impact&sortDir=desc или ?sort=OwnerCount&sortDir=asc.
• Сведения об объекте: Переходите непосредственно к конкретному объекту в отчете, используя якорь (#) и идентификатор объекта, например, #%ObjectID%.

Оценка

• Impact: Представляет объем или серьезность разрешений, которыми обладает объект.
• Likelihood: Показывает, насколько легко на объект можно повлиять или насколько хорошо он защищен.
• Risk: Рассчитанный балл: Impact × Likelihood = Risk.
• Важно:
  • Эта оценка предназначена как базовая оценка, помогающая сортировать и расставлять приоритеты записей в таблице.
  • Баллы риска не сопоставимы напрямую между различными типами объектов или отчетами.
  • Она не предназначена для замены полной оценки рисков.

🔧Под капотом

Категоризация ролей

Роли Entra ID и Azure приблизительно категоризируются по разным уровням. Эта категоризация влияет на баллы воздействия объектов, которым назначены эти роли. Цель состоит в том, чтобы назначать более высокий балл воздействия пользователям с более мощными ролями (например, Global Administrator) по сравнению с пользователями с менее критичными ролями (например, Global Reader), даже если обе считаются привилегированными ролями Microsoft.

Примечание: Для ролей Azure эта категоризация менее точна, поскольку фактическое воздействие сильно зависит от области назначения роли. Например, роль Owner на одной виртуальной машине имеет значительно меньшее воздействие, чем когда та же роль применяется ко всей подписке. Это также может быть тестовая подписка без каких-либо ресурсов.

Категоризация разрешений API

Некоторые разрешения API позволяют приложению напрямую повышать привилегии до Global Administrator. Поэтому несколько разрешений API категоризируются по разным уровням серьезности. Эта категоризация влияет на балл воздействия приложений, которым назначены эти разрешения — либо как разрешения приложения, либо как делегированные разрешения для пользователей.

Корпоративные приложения Microsoft (First-Party)

По умолчанию приложения Microsoft отфильтровываются, чтобы упростить проверку корпоративных приложений. Используйте параметр -IncludeMsApps, чтобы включить их. Приложения из следующих тенантов считаются принадлежащими Microsoft:

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

Выполняемые проверки

В следующей таблице кратко перечислены выполняемые проверки, их влияние на оценку и отображается ли предупреждение.

🛡️ Обнаружение

EntraFalcon не является скрытным инструментом и может быть обнаружен в средах, где ведётся журналирование и мониторинг Microsoft Graph API и активности входа в Azure.

Используемая аутентификация по умолчанию

При выполнении полной перечислительной проверки с потоками, отличными от BroCi, инструмент обычно инициирует четыре интерактивных входа и один неинтерактивный вход. В зависимости от потока и поддержки конечных точек может произойти один дополнительный интерактивный вход для конечных точек политик Security Findings.

Используемая аутентификация BroCi

При использовании аутентификации BroCi происходит только один интерактивный вход.

Когда BroCi включён, EntraFalcon также запрашивает api.azrbac.mspim.azure.com для PIM для групп.

Подробности

Для сбора данных инструмент отправляет несколько запросов к Microsoft Graph API и, при необходимости, к Azure ARM API — один или несколько на объект. Где возможно, он использует конечную точку Graph Batch для сокращения количества отдельных запросов и повышения эффективности.

Интерактивные входы используют User-Agent браузера. Все неинтерактивные входы и запросы API (Graph и ARM) используют EntraFalcon в качестве User-Agent, если это не изменено параметром -UserAgent.

Для обнаружения использования EntraFalcon синие команды могут отслеживать перечисленные идентификаторы приложений в журналах входа, искать необычные объёмы трафика Graph API или анализировать поведение обновления токенов и пакетных запросов.

🕳️ Известные ограничения

• M365 RBAC: не оценивается
• Defender for Endpoint RBAC: не оценивается
• Покрытие пользователей Conditional Access: эффективное покрытие пользователей и -ExportCapUncoveredUsers являются расчётными значениями по принципу «наилучшего усилия» на основе перечисленных пользователей, участников групп, назначений ролей и разрешимых категорий внешних пользователей. Селекторы внешних пользователей разрешаются только для гостевых пользователей клиента, соответствующих b2bCollaborationGuest. Другие типы внешних пользователей или внешние пользователи с указанными внешними клиентами могут сделать значения покрытия приблизительными. Пути PIM с правом сообщаются как потенциальное покрытие и не учитываются как текущее покрытие. Экспорт в CSV ограничен включёнными политиками и включёнными пользователями.
• Облачная среда: облачные платформы быстро развиваются. В результате некоторые оценки или обнаружения могут со временем устареть или стать неточными. Кроме того, клиенты становятся всё более сложными, и конкретные конфигурации или комбинации настроек могут приводить к неточным результатам. Хотя мы стремимся поддерживать EntraFalcon в актуальном состоянии, всегда рекомендуется независимо проверять результаты и не полагаться исключительно на инструмент для критически важных решений.
• HTML-отчёты: создаваемые HTML-отчёты не реализуют механизмы защиты от межсайтового скриптинга (XSS).

📦 Интегрированные внешние инструменты

Следующие подмодули были форкнуты и интегрированы в EntraFalcon для поддержки аутентификации, взаимодействия с Microsoft Graph и диаграмм отчётов:

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js