EntraGoat: el laboratorio de seguridad para aprender ataques reales en Microsoft Entra ID

En el mundo de la ciberseguridad de identidad, la práctica lo es todo. Los entornos de producción están protegidos, y replicar escenarios reales de explotación sin riesgo es difícil. Aquí es donde entra EntraGoat, un proyecto open-source diseñado para enseñar y practicar técnicas de ataque y defensa en Microsoft Entra ID.

EntraGoat es un entorno deliberadamente vulnerable para Microsoft Entra ID, creado por el equipo de seguridad de Semperis para simular errores de configuración y vectores de ataque que se encuentran en escenarios reales. Su objetivo principal es permitir que profesionales de seguridad y defensores de identidad practiquen técnicas de intrusión, escalada de privilegios y explotación de misconfiguraciones —todo dentro de un entorno controlado y educativo.

Este proyecto funciona como un laboratorio tipo CTF (Capture the Flag), donde cada desafío representa una situación realista de vulnerabilidad en un entorno de Azure AD/Entra ID.

EntraGoat se basa en dos componentes principales:

Scripts PowerShell y Microsoft Graph API que configuran el entorno vulnerable dentro de un tenant de prueba.
Una interfaz web local (desarrollada en React) que permite explorar los diferentes escenarios y seguir el progreso de los retos.

Cada escenario incluye:

Scripts de setup para desplegar configuraciones vulnerables.
Scripts de cleanup para revertir los cambios y mantener el entorno limpio.
Desafíos con banderas ocultas que ponen a prueba tu capacidad de explotar vulnerabilidades.
Opcionales guías o pistas para aprender paso a paso.

Repo: https://github.com/Semperis/EntraGoat

Writeups: