Η κλιμάκωση δικαιωμάτων σημαίνει απόκτηση περισσότερης πρόσβασης από αυτήν που σας δόθηκε. Ένας εισβολέας ξεκινά με έναν λογαριασμό χαμηλών δικαιωμάτων, ίσως έναν τυπικό χρήστη ή μια παραβιασμένη υπηρεσία. Από εκεί, βρίσκει έναν τρόπο να γίνει διαχειριστής ή root. Αυτά τα υψηλότερα δικαιώματα του επιτρέπουν να απενεργοποιήσει τα εργαλεία ασφαλείας, να εγκαταστήσει backdoors και να αποκτήσει πρόσβαση σε δεδομένα που προηγουμένως ήταν εκτός ορίων. Η κλιμάκωση είναι συχνά το βήμα που μετατρέπει μια μικρή παραβίαση σε σοβαρή παραβίαση.

Η κλιμάκωση λαμβάνει δύο μορφές. Η κάθετη κλιμάκωση μετακινείται προς τα πάνω στην κλίμακα προνομίων, από τον χρήστη στον διαχειριστή. Η οριζόντια κλιμάκωση μετακινείται πλευρικά, από έναν λογαριασμό χρήστη σε έναν άλλο με παρόμοια δικαιώματα. Και τα δύο έχουν σημασία. Ένας εισβολέας που παραβιάζει έναν λογαριασμό help desk και κλιμακώνει οριζόντια σε έναν λογαριασμό οικονομικών μπορεί να εγκρίνει πληρωμές. Οι τεχνικές κυμαίνονται από την εκμετάλλευση ευπαθειών πυρήνα που δεν έχουν διορθωθεί έως την εύρεση διαπιστευτηρίων σε αρχεία διαμόρφωσης ή στη μνήμη. Οι λανθασμένα διαμορφωμένες υπηρεσίες που εκτελούνται ως SYSTEM είναι μια συνηθισμένη διαδρομή. Το ίδιο ισχύει και για τις προγραμματισμένες εργασίες, τα αδύναμα δικαιώματα υπηρεσίας και τα αποθηκευμένα διαπιστευτήρια σε σενάρια. Μόλις ένας εισβολέας αποκτήσει δικαιώματα διαχειριστή, η ανίχνευση γίνεται πιο δύσκολη. Μπορεί να απενεργοποιήσει την καταγραφή, να διαγράψει τα αρχεία καταγραφής συμβάντων και να εγκαταστήσει rootkits. Όσο νωρίτερα εντοπιστεί η κλιμάκωση, τόσο το καλύτερο.

Κοινές διαδρομές κλιμάκωσης

• Ευπάθειες πυρήνα ή υπηρεσίας που δεν έχουν ενημερωθεί
• Λανθασμένα διαμορφωμένα δικαιώματα σε αρχεία ή υπηρεσίες
• Διαπιστευτήρια αποθηκευμένα σε απλό κείμενο ή στη μνήμη
• Αδύναμοι λογαριασμοί υπηρεσιών με υπερβολικά δικαιώματα
• Εκμετάλλευση προγραμματισμένων εργασιών ή σεναρίων εκκίνησης

Τα ελάχιστα δικαιώματα περιορίζουν τις δυνατότητες ενός εισβολέα πριν από την κλιμάκωση. Η ενημέρωση κώδικα κλείνει τα τρωτά σημεία που χρειάζονται για την κλιμάκωση.