Privilegienausweitung bedeutet, sich mehr Zugriffsrechte zu verschaffen, als einem ursprünglich gewährt wurden. Ein Angreifer beginnt mit einem Konto mit geringen Berechtigungen, beispielsweise einem Standardbenutzerkonto oder einem kompromittierten Dienst. Von dort aus verschafft er sich Administrator- oder Root-Rechte. Diese erweiterten Berechtigungen ermöglichen es ihm, Sicherheitsfunktionen zu deaktivieren, Hintertüren zu installieren und auf zuvor unzugängliche Daten zuzugreifen. Die Eskalation ist oft der Schritt, der eine geringfügige Kompromittierung in einen schwerwiegenden Sicherheitsvorfall verwandelt.

Eskalation kann auf zwei Arten erfolgen. Vertikale Eskalation führt die Rechtehierarchie hinauf, vom Benutzer zum Administrator. Horizontale Eskalation erfolgt seitwärts, von einem Benutzerkonto zu einem anderen mit ähnlichen Rechten. Beide sind relevant. Ein Angreifer, der ein Helpdesk-Konto kompromittiert und horizontal auf ein Finanzkonto eskaliert, kann Zahlungen genehmigen. Die Techniken reichen von der Ausnutzung ungepatchter Kernel-Schwachstellen bis zum Auffinden von Anmeldeinformationen in Konfigurationsdateien oder im Arbeitsspeicher. Fehlkonfigurierte Dienste, die als SYSTEM ausgeführt werden, sind ein häufiger Angriffspunkt. Ebenso wie geplante Aufgaben, unzureichende Dienstberechtigungen und in Skripten gespeicherte Anmeldeinformationen. Sobald ein Angreifer Administratorrechte besitzt, wird die Erkennung schwieriger. Er kann die Protokollierung deaktivieren, Ereignisprotokolle löschen und Rootkits installieren. Je früher die Eskalation erkannt wird, desto besser.

Häufige Eskalationswege

• Ungepatchte Kernel- oder Dienstschwachstellen
• Fehlkonfigurierte Berechtigungen für Dateien oder Dienste
• Anmeldeinformationen im Klartext oder im Speicher gespeichert
• Schwache Servicekonten mit übermäßigen Rechten
• Ausnutzen von geplanten Aufgaben oder Startskripten

Das Prinzip der minimalen Berechtigungen beschränkt die Möglichkeiten eines Angreifers, bevor er seine Rechte ausweiten kann. Durch das Einspielen von Patches werden die Schwachstellen geschlossen, die für eine solche Ausweitung notwendig sind.