Rettighedseskalering (privilege escalation)

Rettighedseskalering er taktikken TA0004 i MITRE ATT&CK og svarer til "E" i Microsofts STRIDE-trusselsmodel (Elevation of Privilege). Forsvarere skelner mellem to retninger. Vertikal eskalering hæver en konto fra lavere til højere rettigheder på samme system - en almindelig bruger, der bliver lokal administrator, eller en servicekonto, der bliver SYSTEM eller root. Horisontal eskalering bevarer samme rettighedsniveau, men når en anden brugers ressourcer; isoleret set er det reelt en fejl i adgangskontrollen og overlapper med OWASP-kategorien broken access control. Værdien af eskalering for en angriber er, at fodfæster med få rettigheder er lette at få, men begrænsede; højere rettigheder tillader at slå sikkerhedsværktøjer fra, rydde logs, installere persistens og nå data på tværs af værten.

De underliggende svagheder falder i genkendelige klasser snarere end enkelte tricks. Fejlkonfiguration er den største: for brede fil- og tjenesterettigheder, skrivbare mapper i eksekverbares søgesti, uciterede tjenestestier og planlagte opgaver, der kører som en privilegeret konto, men kan ændres af andre. Softwaresårbarheder i privilegeret kode - kernedrivere, setuid-programmer på Unix og Windows-komponenter - er en anden klasse; lokale rettighedseskaleringsfejl er en fast kategori i leverandørers patchcyklusser. For mange stående rettigheder er en tredje: brugere, der permanent er lokale administratorer, for brede rolletildelinger og ubegrænset delegering eller shadow-admin-relationer i Active Directory, der lader en beskeden konto nå domænekontrol. På cloudplatforme optræder samme idé som IAM-rettighedseskalering, hvor en for tilladende politik lader en identitet give sig selv flere rettigheder (fx ved at redigere en rolle, den kan ændre).

Fordi eskalering næsten altid udnytter konfiguration eller for mange rettigheder, er de stærkeste forsvar strukturelle frem for reaktive. Princippet om least privilege og rollebaseret adgangskontrol holder stående rettigheder minimale; just-in-time- og just-enough-administration fjerner permanent forhøjelse; på Windows hæver User Account Control og fjernelse af brugere fra den lokale Administrators-gruppe barren, mens Linux bruger sudo-politikker, capabilities og mandatory access control (SELinux, AppArmor). Hurtig patching lukker sårbarhedsklassen, application allow-listing begrænser, hvad et fodfæste kan køre, og periodiske adgangsgennemgange og værktøjer, der auditerer effektive rettigheder, fanger fejlkonfigurationsklassen, før en angriber gør det. NIST SP 800-53-kontrollen AC-6 (Least Privilege) er det kanoniske governance-anker.

En udbredt misforståelse er, at eskalering er ét enkelt exploit; oftere er det den produktive brug af legitime, men for brede rettigheder, og derfor undgår det signaturdetektion og skal fanges adfærdsmæssigt - en normalt uprivilegeret konto, der pludselig optræder som administrator, eller en tjeneste, der starter en interaktiv shell. Det adskiller sig fra sine naboer: rettighedseskalering øger rettigheder på én vært, mens lateral bevægelse bruger rettigheder til at nå andre værter, og de to kædes typisk sammen - eskalér på én maskine for at høste de loginoplysninger, der muliggør bevægelse til den næste.