Peningkatan hak akses berarti mendapatkan akses lebih dari yang diberikan sebelumnya. Penyerang memulai dengan akun hak akses rendah, mungkin pengguna standar atau layanan yang disusupi. Dari sana, mereka menemukan cara untuk menjadi administrator atau root. Hak akses yang lebih tinggi memungkinkan mereka untuk menonaktifkan alat keamanan, memasang pintu belakang (backdoor), dan mengakses data yang sebelumnya terlarang. Peningkatan hak akses seringkali merupakan langkah yang mengubah pelanggaran kecil menjadi pelanggaran serius.

Eskalasi terjadi dalam dua bentuk. Eskalasi vertikal bergerak naik tangga hak akses, dari pengguna biasa ke admin. Eskalasi horizontal bergerak ke samping, dari satu akun pengguna ke akun pengguna lain dengan hak akses serupa. Keduanya penting. Penyerang yang membobol akun help desk dan melakukan eskalasi horizontal ke akun keuangan dapat menyetujui pembayaran. Teknik yang digunakan beragam, mulai dari mengeksploitasi kerentanan kernel yang belum ditambal hingga menemukan kredensial dalam file konfigurasi atau memori. Layanan yang salah konfigurasi yang berjalan sebagai SYSTEM adalah jalur yang umum. Begitu juga tugas terjadwal, izin layanan yang lemah, dan kredensial yang tersimpan dalam skrip. Setelah penyerang memiliki hak akses admin, deteksi menjadi lebih sulit. Mereka dapat menonaktifkan pencatatan log, menghapus log peristiwa, dan menginstal rootkit. Semakin cepat eskalasi terdeteksi, semakin baik.

Jalur eskalasi umum

• Kerentanan kernel atau layanan yang belum ditambal
• Kesalahan konfigurasi izin pada file atau layanan.
• Kredensial disimpan dalam bentuk teks biasa atau memori.
• Akun layanan lemah dengan hak akses berlebihan
• Memanfaatkan tugas terjadwal atau skrip startup

Prinsip hak akses minimal membatasi seberapa banyak yang dapat dilakukan penyerang sebelum meningkatkan hak aksesnya. Penambalan (patching) menutup kerentanan yang mereka butuhkan untuk meningkatkan hak aksesnya.