此外，您必须能够从运行该工具的设备上对 Microsoft Graph API 以及可选的 Azure ARM API 进行身份验证。 确保条件访问策略不会阻止您的身份验证。

▶️ 使用方法

下载 EntraFalcon

要开始使用，请克隆仓库并导航到项目目录：```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

运行 EntraFalcon

EntraFalcon 内置了对 Entra ID 身份验证的支持。使用 -AuthFlow 选择身份验证流程。

对于常规评估，请使用以下全量覆盖流程之一：

BroCi 需要一次交互式登录。BroCiToken 和 ServicePrincipal 无需交互式登录。回退用户流程可能需要多次交互式登录，因为会分别请求不同的资源令牌。

推荐：BroCi 流程（默认 / 仅限 Windows）

BroCi 使用备用的一方应用程序，仅需一次交互式登录。
当 Azure Active Directory PowerShell 客户端需要分配且必须避免时，此流程非常有用。```powershell .\run_EntraFalcon.ps1

推荐：BroCi + 手动代码流程```powershell

.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

推荐：服务主体

使用 OAuth2 客户端凭据授权以已注册应用程序的身份进行身份验证——无需用户交互。 适用于重复的自动化执行。
需要自定义 Entra 应用注册，并具有 Application 类型的 Graph API 权限（见下文）。

使用客户端机密：```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPClientSecret ""

对于受密码保护的 PFX，请添加 -SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString)。

使用 PEM 证书 + 私钥（仅限 PowerShell 7+）：```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

回退：设备代码流（Device Code Flow）

在加固环境中，该流程通常受条件访问（Conditional Access）限制。
使用 DeviceCode 时，会以降低的深度运行两项安全发现检查（CAP-004 和 CAP-005）。```powershell .\run_EntraFalcon.ps1 -AuthFlow DeviceCode

1. 脚本将认证 URL 复制到剪贴板。
2. 将 URL 粘贴到浏览器中（可选在其他设备上以支持 SSO）。
3. 完成认证。
4. 从浏览器地址栏复制最终的重定向 URL（包含授权码）到剪贴板。
5. 按 Enter 继续；脚本从剪贴板读取授权码并完成令牌获取。

其他参数

包含 Microsoft 拥有的企业应用

默认情况下，官方 Microsoft 企业应用会被排除在评估之外以减少干扰。要将其纳入枚举和分析，请使用 -IncludeMsApps 开关：```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

其他可选参数

📊 示例报告

安全发现报告

用户

用户（详细信息部分）

Entra ID 角色

Azure 角色

企业应用程序（详细信息部分）

条件访问策略

条件访问策略（详细信息部分）

PIM 角色设置（Entra）

代理身份

枚举摘要

📑 HTML 报告

常规

• 点击 ⚙️ 列 按钮以显示或隐藏特定列。
• 点击 💾 导出 以下载当前可见数据的 CSV/JSON 或复制 CSV/TSV/JSON。
• 点击 👁 共享视图 以将筛选器、排序和列选择复制为可共享的链接。
• 点击 🧰 预设视图 以应用预配置的筛选器和列选择。
• 点击 🔄 重置视图 以将视图重置为默认状态。
• 点击对象名称以跳转到详细信息，即使在其他报告中也可以。
• 使用内部导航时，按浏览器的后退按钮返回。
• 某些表头字段在鼠标悬停时显示帮助文本。
• 点击表头对数据进行排序。
• Alt+点击主表列标题可快速隐藏该列。
• Alt+点击主表内容行可暂时隐藏该行。使用隐藏行标签或重置视图可再次显示隐藏的行。

筛选

• 如果未指定运算符，筛选默认为包含。
• 使用 = 进行精确匹配。
• 使用 ^ 表示开头为（例如，^Mallory）。
• 使用 $ 表示结尾为（例如，$domain.ch）。
• 支持比较运算符，如 >、<、>=、<=（仅限数值）。
• 筛选条件可通过以 ! 开头来取反（数值比较除外）。示例：!Mallory、!=Mallory、!^Mallory 或 !$domain.ch。
• 使用 =empty 匹配空单元格，或使用 !=empty 匹配非空单元格。
• 使用 || 匹配同一列中的多个值中的任意一个（例如，Admin || Guest）。
• 使用 && 要求同一列中满足多个匹配（例如，!adm && !svc && !sql）。
• 要在各列之间应用 OR 逻辑，请在筛选字段中直接使用 or_、group1_、group2_...。示例：在第 1 列中：or_>1，在第 2 列中：or_!Mallory。
• 注意： DisplayName 列还包含对象的 ID（不可见），因此也可以按 ID 进行筛选。

使用 GET 参数进行控制

• 筛选：使用字段名称作为 HTTP GET 参数应用筛选条件，例如，?EntraRoles=>1&Enabled=true。 要在各列之间应用 OR 逻辑，请使用 or_ 或 group1_ 前缀（例如，?or_EntraRoles=>0&or_GrpMem=>0）。
• 列选择：使用 columns 参数选择要显示的列。示例：?columns=DisplayName,Owner。
• 排序：使用 sort 和 sortDir 参数对数据进行排序。示例：?sort=Impact&sortDir=desc 或 ?sort=OwnerCount&sortDir=asc。
• 对象详细信息：使用锚点（#）和对象 ID 直接跳转到报告中的特定对象，例如 #%ObjectID%。

评级

• 影响：表示对象拥有的权限的数量或严重程度。
• 可能性：表示对象被影响的难易程度或其受保护的程度。
• 风险：计算得分：影响 × 可能性 = 风险。
• 重要：
  • 此评分旨在作为基本评估，帮助对表中的条目进行排序和优先级划分。
  • 风险得分在不同对象类型或报告之间不可直接比较。
  • 它不旨在替代完整的风险评估。

🔧 底层机制

角色分类

Entra ID 和 Azure 角色大致分为不同的层级。此分类会影响分配给这些角色的对象的影响得分。 目标是让拥有更强角色的用户（例如，全局管理员）获得比拥有较不关键角色的用户（例如，全局读取者）更高的影响得分，即使两者都被 Microsoft 视为特权角色。

注意： 对于 Azure 角色，此分类不太精确，因为实际影响在很大程度上取决于角色分配的范围。例如，单个虚拟机上的 Owner 角色与将相同角色应用于整个订阅时相比，影响要小得多。它也可能是一个没有任何资源的测试订阅。

API 权限分类

某些 API 权限允许应用程序直接提升为全局管理员权限。因此，多个 API 权限被分类为不同的严重级别。此分类会影响分配了这些权限的应用程序的影响得分——无论是作为应用程序权限还是作为用户的委派权限。

Microsoft 第一方企业应用程序

默认情况下，Microsoft 应用程序会被过滤掉，以简化企业应用程序的审查。使用 -IncludeMsApps 开关可将其包含在内。来自以下租户的应用程序被视为 Microsoft 所有：

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

执行的检查

下表大致总结了所执行的检查、它们对评分的影响以及是否显示警告。

🛡️ 检测

EntraFalcon 不具备隐蔽性，在记录并监控 Microsoft Graph API 和 Azure 登录活动的环境中可以被检测到。

使用的默认身份验证

当使用非 BroCi 流程执行完整枚举时，该工具通常会发起四次交互式登录和一次非交互式登录。根据流程和端点支持情况，安全发现策略端点可能还会发生一次额外的交互式登录。

使用的 BroCi 身份验证

当使用 BroCi 身份验证时，仅发生一次交互式登录。

启用 BroCi 后，EntraFalcon 还会查询 api.azrbac.mspim.azure.com 以获取 PIM for Groups 数据。

详细信息

在数据收集过程中，该工具会向 Microsoft Graph API 以及（可选）Azure ARM API 发送多个请求——每个对象一个或多个请求。在可能的情况下，它会利用 Graph 批处理端点来减少单个请求的数量并提高效率。

交互式登录使用浏览器的 User-Agent。所有非交互式登录和 API 请求（Graph 和 ARM）均使用 EntraFalcon 作为 User-Agent，除非通过 -UserAgent 参数更改。

为了检测 EntraFalcon 的使用，蓝队可以监控登录日志中列出的应用程序 ID，查找异常大量的 Graph API 流量，或分析令牌刷新和批处理请求行为。

🕳️ 已知限制

• M365 RBAC：未评估
• Defender for Endpoint RBAC：未评估
• 条件访问用户覆盖范围：有效用户覆盖范围和 -ExportCapUncoveredUsers 是基于枚举的用户、组成员、角色分配和可解析的外部用户类别进行的最佳努力计算。外部用户选择器仅针对匹配 b2bCollaborationGuest 的租户来宾用户进行解析。其他外部用户类型或指定了外部租户的外部用户可能导致覆盖范围值不精确。符合条件的 PIM 路径被报告为潜在覆盖范围，不计入当前已覆盖范围。CSV 导出仅限于已启用的策略和已启用的用户。
• 云环境：云平台发展迅速。因此，某些评估或检测可能会随着时间的推移而过时或不准确。此外，租户变得越来越复杂，特定的配置或设置组合可能导致不准确的结果。虽然我们努力保持 EntraFalcon 的最新状态，但始终建议独立验证发现结果，不要仅依赖该工具做出关键决策。
• HTML 报告：生成的 HTML 报告未实现针对跨站脚本（XSS）的保护机制。

📦 集成的外部工具

以下子模块已被分叉并集成到 EntraFalcon 中，以支持身份验证、Microsoft Graph 交互和报告图表：

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js