Eskalacja uprawnień oznacza uzyskanie większego dostępu niż ten, który został przyznany. Atakujący zaczyna od konta o niskich uprawnieniach, być może standardowego użytkownika lub zainfekowanej usługi. Stamtąd znajduje sposób na uzyskanie uprawnień administratora lub roota. Te wyższe uprawnienia pozwalają mu wyłączyć narzędzia bezpieczeństwa, zainstalować tylne furtki i uzyskać dostęp do danych, które wcześniej były niedostępne. Eskalacja często jest krokiem, który przekształca drobne naruszenie bezpieczeństwa w poważne naruszenie.

Eskalacja występuje w dwóch formach. Eskalacja pionowa przesuwa się w górę drabiny uprawnień, od użytkownika do administratora. Eskalacja pozioma przesuwa się w bok, z jednego konta użytkownika na drugie o podobnych uprawnieniach. Obie formy mają znaczenie. Atakujący, który włamie się na konto pomocy technicznej i eskaluje poziomo do konta finansowego, może zatwierdzać płatności. Techniki obejmują wykorzystywanie niezałatanych luk w jądrze, a także wyszukiwanie poświadczeń w plikach konfiguracyjnych lub pamięci. Częstą drogą są nieprawidłowo skonfigurowane usługi działające jako SYSTEM. Podobnie jak zaplanowane zadania, słabe uprawnienia usług i zapisane poświadczenia w skryptach. Gdy atakujący ma uprawnienia administratora, wykrycie staje się trudniejsze. Może on wyłączyć rejestrowanie, wyczyścić dzienniki zdarzeń i zainstalować rootkity. Im wcześniej eskalacja zostanie wykryta, tym lepiej.

Typowe ścieżki eskalacji

• Niezałatane luki w zabezpieczeniach jądra lub usługi
• Nieprawidłowo skonfigurowane uprawnienia do plików lub usług
• Dane uwierzytelniające przechowywane w postaci zwykłego tekstu lub w pamięci
• Słabe konta usługowe z nadmiernymi uprawnieniami
• Wykorzystywanie zaplanowanych zadań lub skryptów startowych

Minimalne uprawnienia ograniczają zakres działań atakującego przed eskalacją. Łatanie luk eliminuje luki, które mogą prowadzić do eskalacji.