EntraFalcon

EntraFalcon 是一款基于 PowerShell 的评估工具，专为渗透测试人员、安全分析师和系统管理员设计，用于评估 Microsoft Entra ID 环境的安全态势。

该工具易于使用，可在 PowerShell 5.1 和 7 上运行，支持 Windows 和 Linux，且无需额外的 PowerShell 模块、额外安装或 Microsoft Graph API 同意。

该工具有助于发现特权对象、潜在风险分配以及常被忽视的条件访问错误配置，例如：

• 控制高特权组或应用程序的用户
• 具有过度权限（如 Microsoft Graph API、Azure 角色）的外部或内部企业应用程序
• 直接在资源上分配了 Azure IAM 角色的用户
• 从本地同步的特权帐户
• 非活跃用户或没有 MFA 功能的用户
• 用于敏感分配（如条件访问排除、订阅所有者或特权组的合格成员）的无保护组

调查结果以交互式 HTML 报告呈现，支持高效的探索和分析。

🚀 功能

• 简单的 PowerShell 脚本，兼容 PowerShell 5.1 和 7，适用于 Windows 和 Linux
• 内置身份验证，支持多种方法
• 使用预先同意的第一方 Microsoft 应用程序，绕过 Graph API 同意提示
• 生成可导航的 HTML 报告，支持过滤、排序、数据导出等
• 执行超过 80 项自动检查，并将结果汇总到安全发现报告中
  • 包括对弱租户配置和有风险的对象属性或权限的检查
  • 提供严重性评级以及问题描述、潜在威胁和修复指导
  • 列出受影响的对象，并直接链接到其详细报告以供进一步调查
• 执行基本的影响、可能性和风险评分，以突出弱保护的高特权对象并对数据进行排序
• 显示风险配置和提升权限的警告
• 枚举 Entra ID 对象，包括：
  • 用户（包括代理用户）
  • 组
  • 企业应用程序
  • 应用注册
  • 托管标识
  • 代理标识（BETA）
  • 代理标识蓝图主体（BETA）
  • 代理标识蓝图（BETA）
  • PIM 分配：
    • PIM for Entra Roles
    • PIM for Entra Groups
    • PIM for Azure Roles
  • Entra 角色分配
  • Azure 角色分配
  • 条件访问策略
  • 管理单元
  • PIM 设置：
    • PIM for Entra Roles
    • PIM for Groups（仅限 BroCi 身份验证）

✅ 要求

此外，您必须能够从运行该工具的设备通过 Microsoft Graph API 进行身份验证，并可选地通过 Azure ARM API 进行身份验证。 确保条件访问策略不会阻止您的身份验证。

▶️ 使用

下载 EntraFalcon

首先，克隆仓库并导航到项目目录：```powershell git clone https://github.com/CompassSecurity/EntraFalcon cd EntraFalcon

注意：您可能需要临时更改 PowerShell 执行策略才能运行该脚本。
仅对受信任的脚本执行此操作！```
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope Process

运行 EntraFalcon

EntraFalcon 内置了对 Entra ID 身份验证的支持。
提供多种身份验证流程，以适应不同的环境和限制。
根据所选流程，可能需要多次交互式身份验证。

使用 -AuthFlow 选择身份验证流程。

使用 BroCi 流程（默认 / 仅限 Windows）

BroCi 使用备用第一方应用程序，仅需一次交互式登录。
当 Azure Active Directory PowerShell 客户端需要分配且必须避免使用时，该流程尤为有用。```powershell .\run_EntraFalcon.ps1

显式 BroCi 选择：```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCi

授权码流程（仅限 Windows）```powershell

.\run_EntraFalcon.ps1 -AuthFlow AuthCode

#### 设备码流程
在强化环境中，设备码流程通常受条件访问限制。  
使用 `DeviceCode` 时，会以降低深度运行两个安全发现检查（`CAP-004` 和 `CAP-005`）。```powershell
.\run_EntraFalcon.ps1 -AuthFlow DeviceCode

使用授权码 + 手动代码流认证```powershell

.\run_EntraFalcon.ps1 -AuthFlow ManualCode

1. 脚本将认证 URL 复制到剪贴板。
2. 将 URL 粘贴到浏览器中（可选地在其他设备上以支持 SSO）。
3. 完成认证。
4. 从浏览器地址栏复制最终的重定向 URL（包含授权码）到剪贴板。
5. 按 Enter 继续；脚本从剪贴板读取代码并完成令牌获取。

#### BroCi + 手动代码流```powershell
.\run_EntraFalcon.ps1 -AuthFlow BroCiManualCode

1. 脚本将身份验证 URL 复制到剪贴板。
2. 将 URL 粘贴到浏览器中（可选地在另一台设备上以支持 SSO）。
3. 打开浏览器开发者工具，在 Network 选项卡中启用 Preserve log。
4. 完成身份验证。
5. 在网络日志中搜索 code=1. 并将包含该 code 的请求 URL 复制到剪贴板。
6. 按 Enter 继续；脚本从剪贴板读取 code 并完成令牌获取。

使用令牌的 BroCi

如果已经有一个有效的 Azure 门户刷新令牌（客户端 c44b4083-3bb0-49c1-b47d-974e53cbdf3c），则可以直接使用它。 示例：从浏览器获取刷新令牌

1. 打开浏览器开发者工具，在 Network 选项卡中启用 Preserve log。
2. 在 https://entra.microsoft.com 进行身份验证。
3. 在网络日志中搜索 brk_client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c，并从响应中提取刷新令牌。```powershell .\run_EntraFalcon.ps1 -AuthFlow BroCiToken -BroCiToken "1.XXXXXXXXXXX"

#### 服务主体
使用 OAuth2 客户端凭据授予验证已注册的应用程序身份——无需用户交互。
适用于自动化执行。  
需要具有 `应用程序` 类型 Graph API 权限的自定义 Entra 应用注册（见下文）。

**使用客户端密钥：**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPClientSecret "<Secret>"

使用 PFX 证书：```powershell .\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "" -SPCertificatePath "C:\certs\app.pfx"

对于受密码保护的PFX，添加 `-SPCertificatePassword (Read-Host -Prompt "Certificate password" -AsSecureString)`。

**使用PEM证书 + 私钥（仅PowerShell 7+）：**```powershell
.\run_EntraFalcon.ps1 -AuthFlow ServicePrincipal -Tenant "mysecuretenant.ch" -SPClientId "<AppId>" -SPCertificatePemPath "C:\certs\cert.pem" -SPPrivateKeyPemPath "C:\certs\key.pem"

对于加密私钥，添加 -SPPrivateKeyPemPassword (Read-Host -Prompt "Private key password" -AsSecureString)。

所需的应用注册权限

在应用注册中授予以下 应用程序 权限（非委派权限）并同意管理员权限：

此外，在根管理组（或每个相关订阅）上为服务主体分配 Azure Reader 角色，并根据需要分配 Global Reader 角色（用于每个用户的 MFA 状态）。

其他参数

包括微软拥有的企业应用

默认情况下，官方微软企业应用会被排除在评估之外以减少噪音。要将其纳入枚举和分析，请使用 -IncludeMsApps 开关：```powershell .\run_EntraFalcon.ps1 -IncludeMsApps

#### 跳过 PIM-for-Groups 评估
使用 `-SkipPimForGroups` 开关跳过 PIM-for-Groups 的预收集和富集。  
这也跳过了独立的 `PIM (Groups)` 设置报告。```powershell
.\run_EntraFalcon.ps1 -SkipPimForGroups

📊 示例报告

安全发现报告

用户

用户（详细信息部分）

Entra ID 角色

Azure 角色

企业应用程序（详细信息部分）

条件访问策略

条件访问策略（详细信息部分）

PIM 角色设置（Entra）

代理标识

枚举摘要

📑 HTML 报告

通用

• 点击 ⚙️ 列 按钮显示或隐藏特定列。
• 点击 💾 导出 CSV 将当前可见数据下载为 CSV 文件。
• 点击 👁 共享视图 将筛选、排序和列选择复制为可共享链接。
• 点击 🧰 预设视图 应用预配置的筛选和列选择。
• 点击 🔄 重置视图 将视图重置为默认状态。
• 点击对象名称跳转到详细信息，甚至在其他报告中也可以。
• 使用内部导航时，按浏览器的返回按钮返回。
• 某些表头字段在鼠标悬停时显示帮助文本。
• 点击表头可对数据进行排序。

筛选

• 如果未指定运算符，筛选默认使用包含。
• 使用 = 进行精确匹配。
• 使用 ^ 表示开头是（例如 ^Mallory）。
• 使用 $ 表示结尾是（例如 $domain.ch）。
• 比较运算符如 >、<、>=、<= 也支持（仅数值）。
• 通过在开头添加 ! 可以否定筛选（数值比较除外）。示例：!Mallory、!=Mallory、!^Mallory 或 !$domain.ch。
• 使用 =empty 匹配空单元格，使用 匹配非空单元格。

使用 GET 参数进行控制

• 筛选：使用字段名称作为 HTTP GET 参数应用筛选，例如 ?EntraRoles=>1&Enabled=true。
  要跨列应用 OR 逻辑，使用 or_ 或 group1_ 前缀（例如 ?or_EntraRoles=>0&or_GrpMem=>0）。
• 列选择：使用 columns 参数选择要显示的列。示例：?columns=DisplayName,Owner。
• 排序：使用 sort 和 sortDir 参数对数据进行排序。示例：?sort=Impact&sortDir=desc 或 ?sort=OwnerCount&sortDir=asc。
• 对象详细信息：使用锚点（#）和对象 ID 直接跳转到报告中的特定对象，例如 #%ObjectID%。

评级

• 影响：表示对象所具有的权限数量或严重程度。
• 可能性：表示对象受影响的容易程度或受到保护的程度。
• 风险：计算得分：影响 × 可能性 = 风险。
• 重要：
  • 此评分旨在作为基本评估，帮助对表中的条目进行排序和优先级排序。
  • 不同对象类型或报告之间的风险分数不能直接比较。
  • 它不旨在替代完整的风险评估。

🔧 幕后机制

角色分类

Entra ID 和 Azure 角色大致分为不同的层级级别。此分类会影响分配给这些角色的对象的影响分数。 目标是为具有更强角色的用户（例如全局管理员）分配比具有较不关键角色的用户（例如全局读取者）更高的影响分数，即使 Microsoft 将两者都视为特权角色。

注意： 对于 Azure 角色，这种分类不太精确，因为实际影响在很大程度上取决于角色分配的范围。例如，单个虚拟机上的所有者角色的影响远小于将相同角色应用于整个订阅的影响。它也可能是一个没有任何资源的测试订阅。

API 权限分类

某些 API 权限允许应用程序直接提升为全局管理员权限。因此，几个 API 权限被分类为不同的严重性级别。此分类影响具有这些权限的应用程序的影响分数——无论是作为应用程序权限还是针对用户的委托权限。

Microsoft 第一方企业应用程序

默认情况下，Microsoft 应用程序会被过滤掉，以简化企业应用程序的审查。使用 -IncludeMsApps 开关可将其包含在内。以下租户中的应用程序被视为 Microsoft 所有：

• f8cdef31-a31e-4b4a-93e4-5f571e91255a
• 72f988bf-86f1-41af-91ab-2d7cd011db47
• 33e01921-4d64-4f8c-a055-5bdaffd5e33d
• cdc5aeea-15c5-4db6-b079-fcadd2505dc2

执行的检查

下表大致总结了执行的检查，以及它们对评分的影响以及是否显示警告。

🛡️ 检测

EntraFalcon并非隐蔽工具，在已记录并监控Microsoft Graph API和Azure登录活动的环境中可被检测到。

使用默认身份验证

当使用非BroCi流程执行完整枚举时，该工具通常会发起四次交互式登录和一次非交互式登录。根据流程和端点支持情况，安全发现策略端点可能还会有一次额外的交互式登录。

使用BroCi身份验证

当使用BroCi身份验证时，仅发生一次交互式登录。

当启用BroCi时，EntraFalcon还会查询api.azrbac.mspim.azure.com以获取PIM for Groups数据。

详细说明

为收集数据，该工具向Microsoft Graph API发送多个请求，并可选地向Azure ARM API发送请求，每个对象对应一个或多个请求。在可能的情况下，它利用Graph批处理端点减少单个请求的数量，提高效率。

交互式登录使用浏览器的User-Agent。所有非交互式登录和API请求（Graph和ARM）均使用EntraFalcon作为User-Agent，除非通过-UserAgent参数更改。

为检测EntraFalcon的使用，蓝队可监控登录日志中列出的应用程序ID，留意异常的Graph API流量量，或分析令牌刷新和批处理请求行为。

🕳️ 已知限制

• M365 RBAC：未评估
• Defender for Endpoint RBAC：未评估
• Intune RBAC：未评估
• 条件访问用户覆盖范围：有效的用户覆盖范围和-ExportCapUncoveredUsers参数是基于枚举用户、组成员、角色分配和可解析的外部用户类别进行的尽力计算。外部用户选择器仅对匹配b2bCollaborationGuest的租户来宾用户解析。其他外部用户类型或具有指定外部租户的外部用户可能导致覆盖值近似。符合条件的PIM路径被报告为潜在覆盖，但不计入当前覆盖范围。CSV导出仅限启用策略和启用用户。
• 云环境：云平台发展迅速。因此，某些评估或检测可能随着时间的推移而过时或不准确。此外，租户日益复杂，特定配置或设置组合可能导致不准确的结果。尽管我们努力保持EntraFalcon的最新性，但始终建议独立验证发现结果，不要仅依赖该工具做出关键决策。
• HTML报告：生成的HTML报告未实现跨站脚本（XSS）防护机制。

📦 集成的外部工具

以下子模块已从上游分叉并集成到EntraFalcon中，以支持身份验证、Microsoft Graph交互和报告图表：

• EntraTokenAid
• GraphRequest
• Send-ApiRequest
• GraphBatchRequest
• Chart.js