Privilege-escalatie betekent dat je meer toegang krijgt dan je aanvankelijk had. Een aanvaller begint met een account met lage privileges, bijvoorbeeld een standaardgebruiker of een gecompromitteerde service. Van daaruit zoekt hij een manier om beheerder of root te worden. Met die hogere privileges kan hij beveiligingsprogramma's uitschakelen, backdoors installeren en toegang krijgen tot gegevens die voorheen ontoegankelijk waren. Escalatie is vaak de stap die een kleine inbreuk verandert in een ernstig datalek.

Escalatie kan twee vormen aannemen. Verticale escalatie gaat omhoog in de privilegeladder, van gebruiker naar beheerder. Horizontale escalatie gaat zijwaarts, van het ene gebruikersaccount naar het andere met vergelijkbare rechten. Beide vormen zijn belangrijk. Een aanvaller die een helpdeskaccount compromitteert en horizontaal escaleert naar een financieel account, kan betalingen goedkeuren. De technieken variëren van het exploiteren van niet-gepatchte kernelkwetsbaarheden tot het vinden van inloggegevens in configuratiebestanden of het geheugen. Verkeerd geconfigureerde services die als SYSTEM draaien, zijn een veelvoorkomende route. Dat geldt ook voor geplande taken, zwakke servicerechten en opgeslagen inloggegevens in scripts. Zodra een aanvaller beheerdersrechten heeft, wordt detectie moeilijker. Ze kunnen logboekregistratie uitschakelen, gebeurtenislogboeken wissen en rootkits installeren. Hoe eerder escalatie wordt ontdekt, hoe beter.

Veelvoorkomende escalatiepaden

• Onopgeloste kwetsbaarheden in de kernel of services
• Onjuist geconfigureerde machtigingen voor bestanden of services.
• Inloggegevens opgeslagen in platte tekst of in het geheugen.
• Zwakke serviceaccounts met buitensporige rechten
• Misbruik maken van geplande taken of opstartscripts

Het principe van minimale bevoegdheden beperkt de mogelijkheden van een aanvaller voordat de beveiliging escaleert. Patches dichten de kwetsbaarheden die nodig zijn voor die escalatie.