Privilegieeskalering betyder at få mere adgang, end du har fået tildelt. En angriber starter med en konto med lavt privilegium, måske en standardbruger eller en kompromitteret tjeneste. Derfra finder de en måde at blive administrator eller root. Disse højere privilegier giver dem mulighed for at deaktivere sikkerhedsværktøjer, installere bagdøre og få adgang til data, der tidligere var forbudt. Eskalering er ofte det trin, der forvandler en mindre kompromis til et alvorligt brud.

Eskalering findes i to former. Vertikal eskalering bevæger sig op ad privilegiestigen, fra bruger til administrator. Horisontal eskalering bevæger sig sidelæns, fra én brugerkonto til en anden med lignende rettigheder. Begge dele er vigtige. En angriber, der kompromitterer en helpdesk-konto og eskalerer horisontalt til en finanskonto, kan godkende betalinger. Teknikkerne spænder fra at udnytte ikke-patchede kernelsårbarheder til at finde legitimationsoplysninger i konfigurationsfiler eller hukommelse. Forkert konfigurerede tjenester, der kører som SYSTEM, er en almindelig sti. Det samme gælder planlagte opgaver, svage tjenestetilladelser og gemte legitimationsoplysninger i scripts. Når en angriber har administratorrettigheder, bliver detektion sværere. De kan deaktivere logføring, rydde hændelseslogfiler og installere rootkits. Jo tidligere eskalering opdages, jo bedre.

Almindelige eskaleringsstier

• Ikke-opdateringer i kerne- eller tjenestesårbarheder
• Forkert konfigurerede tilladelser på filer eller tjenester
• Legitimationsoplysninger gemt i klartekst eller hukommelse
• Svage servicekonti med for mange rettigheder
• Udnyttelse af planlagte opgaver eller opstartsscripts

Mindst mulige privilegier begrænser, hvor meget en angriber kan gøre, før den eskalerer. Patches lukker de sårbarheder, de har brug for at eskalere.