يعني تصعيد الامتيازات الحصول على صلاحيات أوسع مما مُنح لك. يبدأ المهاجم بحساب ذي امتيازات محدودة، ربما حساب مستخدم عادي أو حساب خدمة مخترقة. ومن ثم، يجد طريقة ليصبح مديرًا أو مسؤولًا رئيسيًا. تُمكّنه هذه الامتيازات الأعلى من تعطيل أدوات الأمان، وتثبيت أبواب خلفية، والوصول إلى بيانات كانت محظورة عليه سابقًا. غالبًا ما يكون التصعيد هو الخطوة التي تحوّل اختراقًا بسيطًا إلى خرق خطير.

يأتي التصعيد في شكلين: التصعيد الرأسي، حيث ينتقل المهاجم من مستخدم عادي إلى مدير النظام، والتصعيد الأفقي، حيث ينتقل من حساب مستخدم إلى آخر يتمتع بصلاحيات مماثلة. وكلاهما مهم. فالمهاجم الذي يخترق حساب دعم فني ويصعد أفقيًا إلى حساب مالي، يستطيع الموافقة على المدفوعات. وتتراوح أساليب التصعيد بين استغلال ثغرات نواة النظام غير المُعالجة، والعثور على بيانات الاعتماد في ملفات التكوين أو الذاكرة. وتُعد الخدمات المُكوّنة بشكل خاطئ والتي تعمل بصلاحيات النظام (SYSTEM) مسارًا شائعًا، وكذلك المهام المُجدولة، وضعف صلاحيات الخدمات، وبيانات الاعتماد المخزنة في البرامج النصية. وبمجرد حصول المهاجم على صلاحيات المدير، يصبح اكتشافه أكثر صعوبة، إذ يُمكنه تعطيل التسجيل، ومسح سجلات الأحداث، وتثبيت برامج التجسس الخبيثة (Rootkits). وكلما تم اكتشاف التصعيد مبكرًا، كان ذلك أفضل.

مسارات التصعيد الشائعة

• ثغرات أمنية في نواة النظام أو الخدمات لم يتم إصلاحها
• أذونات غير صحيحة على الملفات أو الخدمات
• بيانات الاعتماد المخزنة كنص عادي أو في الذاكرة
• حسابات خدمة ضعيفة ذات صلاحيات مفرطة
• استغلال المهام المجدولة أو البرامج النصية لبدء التشغيل

يحد مبدأ أقل الامتيازات من قدرة المهاجم على القيام بأمور معينة قبل تصعيد هجماته. وتعمل التحديثات الأمنية على سد الثغرات التي يحتاجها المهاجم لتصعيد هجماته.