Escaladarea privilegiilor înseamnă obținerea unui acces mai mare decât cel acordat. Un atacator începe cu un cont cu privilegii reduse, poate un utilizator standard sau un serviciu compromis. De acolo, găsește o modalitate de a deveni administrator sau root. Acest privilegiu mai mare îi permite să dezactiveze instrumentele de securitate, să instaleze backdoor-uri și să acceseze date care anterior erau interzise. Escalada este adesea pasul care transformă o compromitere minoră într-o încălcare gravă.

Escalada se manifestă în două forme. Escalada verticală avansează pe scara privilegiilor, de la utilizator la administrator. Escalada orizontală se deplasează lateral, de la un cont de utilizator la altul cu drepturi similare. Ambele contează. Un atacator care compromite un cont de asistență tehnică și escaladează orizontal către un cont financiar poate aproba plăți. Tehnicile variază de la exploatarea vulnerabilităților kernelului necorectate până la găsirea acreditărilor în fișierele de configurare sau în memorie. Serviciile configurate greșit care rulează ca SYSTEM sunt o cale comună. La fel și sarcinile programate, permisiunile slabe pentru servicii și acreditările stocate în scripturi. Odată ce un atacator are drepturi de administrator, detectarea devine mai dificilă. Aceștia pot dezactiva înregistrarea în jurnal, pot șterge jurnalele de evenimente și pot instala rootkituri. Cu cât escaladarea este detectată mai devreme, cu atât mai bine.

Căi comune de escaladare

• Vulnerabilități ale kernelului sau serviciului nepachetate
• Permisiuni configurate greșit pentru fișiere sau servicii
• Acreditări stocate în text simplu sau în memorie
• Conturi de serviciu slabe cu drepturi excesive
• Exploatarea sarcinilor programate sau a scripturilor de pornire

Privilegiul minim limitează cât de mult poate face un atacator înainte de escaladare. Aplicarea de patch-uri închide vulnerabilitățile de care au nevoie pentru a escalada.