Повышение привилегий обычно считается важным этапом в жизненном цикле любой кибератаки. На этом этапе злоумышленники изначально получают несанкционированный доступ, чтобы расширить свои привилегии в системах и ресурсах организации. Обычно это происходит, когда злоумышленник использует некоторые уязвимости, слабые места или другие проблемы конфигурации в системе, чтобы получить высшие привилегии.
Повышение привилегий – это процесс, обходящий слабые меры безопасности, используя уязвимости системы, человеческие ошибки или программные ошибки для получения высоких привилегий доступа. Многие начальные попытки сломать систему не могут обеспечить доступ к критически важным данным. Поэтому злоумышленники используют технику повышения привилегий, чтобы расширить доступ для более глубокого проникновение в сеть и добраться до критически важных активов, откуда можно украсть конфиденциальную информацию.
Что такое повышение привилегий в кибербезопасности?
Не каждая кибератака может предоставить злоумышленникам прямой, немедленный и полный доступ к атакуемой системе, и именно здесь важную роль играет повышение привилегий. Они используются для нарушения работы бизнеса путем угона очень важных данных, установки бэкдоров или дальнейшего компрометирования системы. Конечной целью часто является неограниченный контроль над сетью или системой, что в большинстве случаев приводит к серьезным нарушениям безопасности или утечке данных.
Как внешние хакеры, так и инсайдеры могут использовать повышение привилегий для достижения своих целей атаки. Атаки социального инжиниринга, такие как фишинг, сначала запускают большинство атак с повышением привилегий для получения учетных данных и доступа. Если такая атака будет успешной, это может привести к катастрофическим последствиям, таким как удаление критически важных баз данных, установка вредоносного программного обеспечения, утечка конфиденциальных данных или полная остановка ключевых служб. Расширенный доступ также может стать ступенькой к другим атакам, таким как развертывание программ-вымогателей или DDoS.
Три типа повышения привилегий
1. Вертикальное повышение привилегий
Вертикальное повышение привилегий – это атака, в ходе которой злоумышленник повышает свои привилегии или разрешения в системе. Обычно злоумышленник начинает с ограниченного доступа, например со стандартной учетной записи пользователя, а затем использует уязвимости, чтобы повысить привилегии до уровня администратора или root. Таким образом, злоумышленник сможет получить полный контроль над системой, выполнять административные задания, изменять конфигурацию системы и получать доступ к конфиденциальной информации. Противник получает вертикальное повышение привилегий путем использования ошибок в программном обеспечении или системных недостатков, таких как неисправимые уязвимости. В приведенном выше примере, будь злоумышленник обычным пользователем, то использование ошибки локального повышения привилегий могло бы фактически повысить его привилегии до уровня суперпользователя, root или даже администратора.
2. Горизонтальное повышение привилегий
Другим типом атаки с повышением привилегий является горизонтальное повышение привилегий – когда злоумышленник получает доступ к ресурсам или данным других пользователей, оставаясь на том же уровне привилегий.
Отличие от вертикального повышения привилегий состоит в том, что он не может повысить свой уровень привилегий, но может действовать как другие пользователи на своем уровне. Например, если пользователь может получить доступ только к своим данным, а не к другим пользователям, злоумышленник, который имеет возможность провести горизонтальную атаку с повышением привилегий, сможет получить несанкционированный доступ, манипулировать или даже удалить данные, принадлежащие другим пользователям, имеющим подобные привилегии. Некоторые из этих уязвимостей можно объяснить неправильно реализуемыми средствами контроля доступа, неисправностями в управлении сеансами и отсутствием проверки входных данных в механизмах проверки подлинности пользователей.
3. Гибридное повышение привилегий в сложных средах
Гибридное повышение привилегий происходит в сложных средах, таких как облачная или гибридная облачная инфраструктура, где существуют различные системы и платформы, локальные и облачные.
Гибридные среды, как правило, включают соединение локальных серверов, облачных служб и посторонних приложений. Злоумышленники могут использовать неправильные настройки или слабые места в коммуникации между этими разными системами, чтобы получить расширение привилегий. Они могут использовать специфические облака ошибки конфигурации, такие как слабые политики IAM в облаке, чтобы повысить свои привилегии. Обычно все эти системы имеют гораздо более сложную архитектуру безопасности, которая иногда может создавать пробелы в системах контроля безопасности или отношениях доверия, что позволяет злоумышленникам использовать эксплойты для повышения привилегий.
В гибридной конфигурации злоумышленник может обойти слабые средства контроля доступа и использовать свои аккаунты в облачном сервисе, где хранятся более высокие привилегии. Например, при конфигурации SSO, чтобы предоставить пользователям доступ, организация требует доступа как к локальным ресурсам, так и к облачным. Компрометация хоть какого из их приводит к схожим последствиям для всех связанных с ним частей. Помимо неправильно настроенных API незащищенный контейнер и плохая сегментация между локальными и облачными ресурсами могут стать векторами для повышения привилегий.
Процесс повышения привилегий
1. Получение первоначального доступа
Первоначально злоумышленники получают доступ к системе с базовыми правами пользователя. Они делают это с помощью фишинга – злонамеренного общения, которое заставляет пользователей раскрыть свои учетные данные, – используя уязвимости в программном обеспечении или системах, которые не были защищены, или используя учетные данные по умолчанию, которые никогда не изменялись после установки. Главной целью на этом этапе является закрепиться внутри системы, чтобы создать стартовую платформу, с которой они могут продолжать атаку.
2. Перечисление и разведка системы
Попав внутрь системы, злоумышленники производят перечисление и разведку системы, чтобы получить подробную информацию об окружающих. Они собирают информацию об архитектуре существующих аккаунтов пользователей, установленных приложений, запущенных служб, версий операционной системы и системы. Сбор информации дополнительно поддерживается с помощью инструментов сканирования сети, системных скриптов и утилит командной строки, отражающих структуру системы и ищущих потенциальные цели для атаки.
3. Выявление уязвимостей
Получив такую подробную информацию, злоумышленники изменяют свою цель атаки на поиск уязвимостей, которые можно использовать для повышения привилегий: неисправлены уязвимости, для которых существуют общедоступные эксплойты, или, возможно, просто ошибки конфигурации, такие как неправильные разрешения, незащищенные настройки в конфигурациях по умолчанию, неправильно настроенные службы или любая из ряда проблем, связанных с учетными данными – слабые или легко угадываемые пароли или даже просто повторно использованные в другой системе, а также открытые токены аутентификации, которые можно перехватить из сети и использовать для получения доступа.
4. Техники эксплуатации
После обнаружения уязвимостей злоумышленники применяют к ним конкретные техники. Вот несколько сценариев, в которых используются техники эксплуатации:
- Эксплуатация уязвимостей программного обеспечения: Атаки с переполнением буфера, во время которых злоумышленник вводит вредоносный код, перезаписывая границы буфера или даже атаки с вводом кода, во время которых злоумышленник может встроить вредоносные скрипты в надежные программы.
- Злоупотребление неправильной конфигурацией: Злоумышленники могут использовать уязвимые конфигурации, такие как недостаточные права доступа к файлам, для получения доступа к файлам или внесения в них несанкционированных изменений. Используя настройки SUID/SGID в системах Unix/Linux, злоумышленники могут выполнять файлы с более высокими привилегиями. Это означает, что злоумышленники могут обойти существующие ограничения и повысить свой уровень доступа в системе.
5. Получение привилегий высокого уровня
Злоумышленники повышают привилегии в системе, используя обнаруженные уязвимости и методы эксплуатации. Они используют специально созданные скрипты или инструменты для эксплуатации слабых мест, обнаруженных во время разведки. Обычно это предполагает использование полезных нагрузок для повышения привилегий – вредоносного ПО, предназначенного для предоставления повышенного доступа после выполнения. Более того, злоумышленники выполняют произвольный код, нацеленный на службы с высокими привилегиями, чтобы получить общий контроль над системой.
6. Деятельность после эксплуатации
После повышения привилегий злоумышленники укрепляют свои позиции для долгосрочных сделок. В этом контексте они, скорее всего, устанавливают бэкдоры, гарантирующие постоянный доступ. Злоумышленники поддерживают механизмы устойчивости, которые используются для повторного проникновения в систему после перезагрузки или обновления. Другим популярным способом является создание новых административных пользователей и предоставление им долгосрочного доступа, независимого от первоначального нарушения. Злоумышленники также, как правило, активно скрывают свои следы. Другими словами, они фальсифицируют системные журналы, удаляя или манипулируя записями, пытаясь уничтожить доказательства своей деятельности. Они также могут манипулировать временными метками файлов, что еще больше усложняет криминалистическое расследование и позволяет злоумышленнику оставаться в системе в течение более продолжительного периода.
Что такое эскалационная атака?
Эскалационная атака подразумевает использование слабых мест, таких как недостатки в программном обеспечении или неправильная конфигурация системы и неэффективное управление доступом.
Все аккаунты пользователей в системе имеют назначенные им привилегии. Стандартным аккаунтам обычно запрещен доступ к критически важным базам данных, конфиденциальным файлам или другим защищенным ресурсам. Однако некоторые пользователи имеют больше доступа, чем им необходимо, и обычно даже не осознают этого, поскольку не пытаются получить доступ к ресурсам, выходящим за их привилегии. Злоумышленники пользуются этим и эксплуатируют эту слабость, чтобы получить более высокий уровень доступа.
Это включает в себя начальную компрометацию аккаунта пользователя с низким уровнем доступа и использование его чрезмерных привилегий или повышение привилегий выше этого уровня. Им удается закрепиться в системе. Они могут оставаться в системе, проводя разведку и дожидаясь возможности повысить свои привилегии в течение некоторого времени. Достаточно часто они выясняют, как использовать повышение привилегий, выходящих за пределы тех, которые были предоставлены первоначально скомпрометированной учетной записи, чтобы получить полный контроль над критическими системами и конфиденциальными данными.
Векторы атак с повышением привилегий
- Вредоносное ПО: Злоумышленники обычно используют вредоносное программное обеспечение, такое как трояны и руткиты, для повышения привилегий в отдельных системах пользователей. Когда вредоносное программное обеспечение запускается, оно работает под привилегиями аккаунта пользователя, с которого оно было запущено. Таким образом, злоумышленник может выполнять задания с повышенными привилегиями. К примеру, злоумышленники могут устанавливать скрытые руткиты, которые дают им полный контроль над системой.
- Уязвимости и эксплойты: Злоумышленники используют уязвимости, обнаруженные в конструкции или конфигурации системы, чтобы получить повышенные привилегии. Они нацеливаются на слабые места в операционной системе, программном обеспечении или сетевом протоколе, что позволяет обойти систему безопасности. Обнаружив уязвимость, злоумышленник использует ее для получения высших привилегий, повышая свои права по учетной записи пользователя с низкими привилегиями к учетной записи администратора или root. Неисправимые или плохо защищенные уязвимости дают злоумышленникам необходимые рычаги для повышения привилегий и компрометации критически важных систем.
- Социальная инженерия: Атаки социального инжиниринга манипулируют пользователями, заставляя их раскрывать конфиденциальную информацию или совершать определенные действия, позволяющие обойти существующие средства контроля безопасности. К таким методам относятся фишинг, спирфишинг и вишинг, которые используются для того, чтобы обмануть жертв и заставить их раскрыть свои учетные данные или загрузить вредоносное программное обеспечение. Получив эти учетные данные или другой способ доступа с помощью вредоносного программного обеспечения, злоумышленник может расширить свои права, чтобы получить доступ к конфиденциальным системам.
- Ошибки конфигурации: Многие ошибки конфигурации в настройках системы и политиках безопасности способствуют повышению привилегий. Во многих случаях злоумышленники используют стандартные настройки, такие как открытые порты или слабый контроль доступа для получения несанкционированного доступа к системам. Это может включать неправильно настроенные хранилища данных или слишком разрешительные права пользователей в облачных средах. Обычно это происходит по недосмотру или отсутствию осведомленности по вопросам безопасности, что делает систему уязвимой для злоупотреблений.
- Использование учетных данных: Злоумышленники используют слабые или открытые учетные данные для повышения своих привилегий. Они используют такие методы, как pass-the-hash, credential stuffing и угадывание паролей, чтобы получить доступ к привилегированным аккаунтам. Когда пользователи повторно используют пароли или хранят их в опасном месте, злоумышленники могут легко использовать эти слабые места, чтобы перемещаться по системе. Даже если аккаунт будет сброшен, злоумышленники могут сохранить доступ через скомпрометированные устройства или бэкдоры, что позволит им продолжать повышать свои привилегии.
Какая лучшая защита от повышения привилегий?
- Принцип минимальных привилегий: Предоставьте пользователям, программам и службам только минимальный доступ. Это ограничит поверхность атаки, поскольку после повышения привилегий у злоумышленника будет меньше возможностей для дальнейших действий. Благодаря строгому контролю доступа к ресурсам и разрешениям эти меры затрудняют использование несанкционированного повышения привилегий, уменьшая количество нарушений.
- Регулярные аудиты: Регулярные аудиты безопасности выявляют неправильные настройки, чрезмерное предоставление прав доступа и незащищенные уязвимости. Это помогает контролировать соблюдение политики безопасности и отсутствие учетных записей или служб с ненужными повышенными привилегиями. Аудиты должны включать в себя проверку всех журналов доступа, настроек разрешений и назначений прав доступа для каждого пользователя и службы.
- Управление исправлениями и уязвимостями: Постоянное исправление систем и программного обеспечения необходимо для устранения известных уязвимостей, которые могут быть использованы для повышения привилегий. Процессы управления уязвимостями должны придавать приоритет исправлению критических уязвимостей, непосредственно влияющих на контроль привилегий, таких как недостатки в протоколах аутентификации или уязвимости операционной системы.
- Распределение обязанностей: Это эффективный способ распределения критически важных функций и задач между разными лицами, чтобы предотвратить чрезмерный контроль над системами со стороны одного пользователя. Это уменьшает вероятность злоупотребления привилегиями и минимизирует риск того, что одна скомпрометированная учетная запись может предоставить полный контроль над системой.
Роль автоматизированных инструментов
Автоматизированные инструменты играют очень важную роль в выявлении и устранении рисков повышения привилегий. Такие инструменты, как сканеры уязвимостей, с минимальными усилиями обнаруживают известные уязвимости в операционных системах, приложениях или сетевой инфраструктуре, которые могут быть использованы для повышения привилегий. Также есть инструменты управления конфигурацией, которые могут обеспечить правильное внедрение установленных наилучших практик безопасности. В то же время, автоматизированное управление исправлениями может гарантировать своевременную установку исправлений, уменьшая вероятность использования незащищенных уязвимостей. Эти инструменты помогают оптимизировать обнаружение слабых мест, что позволяет организациям реагировать на новые угрозы проактивно, а не реактивно.
Как Cymulate решает проблему повышения привилегий
Комплексная платформа Cymulate для непрерывной проверки безопасности и управления уязвимостями помогает организациям применять проактивный подход к выявлению и уменьшению риска повышения привилегий. Cymulate моделирует реальные сценарии атак и проявляет уязвимости, что позволяет компаниям оценивать эффективность своих средств защиты и определять приоритетность мер по устранению уязвимостей.
Основные функции и преимущества:
- Оптимизация устойчивости к угрозам: Cymulate позволяет тестировать и проверять существующие организационные средства безопасности на предмет эскалации привилегий среди других векторов атак, чтобы гарантировать, что любые уязвимости, вызванные неправильной конфигурацией, недостатками программного обеспечения или слабым контролем доступа, будут обнаружены и эффективно устранены.
- Приоритизация уязвимостей на основе атак: Cymulate определяет приоритетность рисков посредством анализа уязвимостей и постоянного тестирования, учитывая потенциальное влияние на критически важные бизнес-активы. Это помогает командам сосредоточиться на устранении самых неотложных уязвимостей, связанных с попытками повышения привилегий.
- Проверка безопасности облачных систем и управление рисками: Cymulate проверяет надежность средств контроля безопасности облачных систем организации в условиях угроз облачной безопасности, таких как неправильная конфигурация идентификационных данных и попытки повышения привилегий в гибридных и мультиоблачных средах.
Ключевые выводы
Повышение привилегий остается значительной угрозой в области кибербезопасности, которая может нанести серьезный ущерб системам и данным организациям. Понимая методы, векторы атак и средства защиты, организации могут использовать проактивный подход к уменьшению этих рисков. Постоянная проверка, строгий контроль доступа и использование автоматизированных инструментов необходимы для поддержания надежного уровня безопасности.
- Повышение привилегий позволяет злоумышленникам получить несанкционированный доступ высокого уровня, что часто приводит к значительным нарушениям или сбоям.
- Основные векторы атак включают уязвимости программного обеспечения, неправильные настройки, социальную инженерию и использование учетных данных.
- Защитные мероприятия, такие как принцип минимальных привилегий, регулярные аудиты и установка поправок, уменьшают вероятность эскалации.
- Автоматизированные инструменты играют важную роль в выявлении уязвимостей, неправильных настроек и рисков эскалации привилегий.
- Cymulate обеспечивает непрерывную проверку безопасности и управления уязвимостями, что позволяет организациям проактивно выявлять и минимизировать риски, связанные с повышением привилегий.
Источник: Privilege Escalation: Unlocking the Hacker’s Toolkit
