权限提升是 利用 操作系统或应用程序 中的编程错误、 漏洞、设计缺陷、配置监督或 访问控制来获得对通常被应用程序或用户限制的资源的未经授权的访问。这导致应用程序或用户拥有比开发人员或系统管理员预期更多的权限，从而允许攻击者访问 敏感数据、安装 恶意软件 并发起其他 网络攻击。
权限提升如何工作？
大多数计算机系统都设计为与多个用户帐户一起使用，每个帐户都具有称为特权的能力。通用权限包括查看、编辑或修改文件的能力。权限提升是指攻击者通过利用目标系统或应用程序中的权限提升漏洞获得他们无权获得的权限，这使他们可以覆盖当前用户帐户的限制。权限提升是恶意用户获取系统初始访问权限的常用方法。攻击者首先找到组织网络安全中的弱点， 以初步渗透到系统中。
在许多情况下，第一个渗透点不会为攻击者提供他们需要的文件系统的访问级别或访问权限。然后，他们将尝试提升权限以获得更多权限或访问其他更敏感的系统。在某些情况下，尝试提权的攻击者发现大门是敞开的。信息安全不足 、未遵循 最小权限原则 以及缺乏 纵深防御， 使普通用户获得的权限超出了他们的需要。在其他情况下，攻击者利用糟糕的修补节奏、 零日漏洞 或使用特定技术来克服操作系统的权限机制。
为什么防止特权升级很重要？
虽然权限提升通常不是攻击者的最终目标，但它经常用于准备更具体的网络攻击，允许入侵者部署恶意负载、调整安全设置并在目标系统中打开额外的攻击向量。
每当您检测或怀疑特权升级时，请使用 数字取证 来查找其他恶意活动的迹象，例如 计算机蠕虫、 恶意软件、 企业间谍活动、 数据泄露、 数据泄露、 中间人攻击 和被盗 的个人身份信息 (PII)， 受保护的健康信息 (PHI)、 心理数据 或 生物特征。
即使没有进一步攻击的证据，特权升级事件也代表着重大的 网络安全风险 ，因为这意味着有人未经授权访问特权帐户和机密或敏感信息。在许多行业中，这些事件需要在内部和相关当局报告，以确保合规。
特权提升的两种类型是什么？
有两种主要的权限提升技术：
- 垂直权限提升（权限提升）： 攻击者试图获得更高的权限或使用他们已经破坏的现有帐户进行访问。例如，攻击者接管网络上的常规用户帐户并尝试获得管理权限。通常是 Microsoft Windows 上的管理员或系统用户，或 Unix 和 Linux 系统上的 root。一旦他们获得提升的权限，攻击者就可以窃取有关特定用户的 敏感数据，安装勒索软件、 间谍软件 或其他 类型的恶意软件，执行恶意代码并破坏您组织的安全状况。
- 横向权限提升： 攻击者通过接管特权帐户并滥用授予用户的合法权限来扩展其权限。对于本地权限提升攻击，这可能意味着劫持具有管理员权限或 root 权限的帐户，对于 Web 应用程序可能意味着获得对用户银行帐户或 SaaS 应用程序管理员帐户的访问权限。
什么是特权提升的例子？
三种常见的权限提升技术是：
- 访问令牌操作： 利用 Microsoft Windows 管理管理员权限的方式。通常，Windows 使用访问令牌来确定正在运行的进程的所有者。通过令牌操作，攻击者欺骗系统，使其相信正在运行的进程属于不同的用户，而不是实际启动进程的用户。发生这种情况时，该进程将采用与攻击者的访问令牌相关联的安全上下文。这是特权提升或垂直特权提升的一种形式。
- 绕过用户帐户控制： Windows 有一种用于控制用户权限的结构化机制，称为用户帐户控制 (UAC)，它充当普通用户和管理员之间的屏障，限制标准用户权限，直到管理员授权增加权限。但是，如果计算机上的 UAC 保护级别未正确配置，则某些 Windows 程序将被允许提升权限或执行组件对象模型 (COM) 对象，而无需先请求管理员权限。例如，rundll32.exe 可以加载动态链接库 (DLL)，该动态链接库 (DLL) 会加载具有提升权限的 COM 对象，从而允许攻击者绕过 UAC 并获得对受保护目录的访问权限。
- 使用有效帐户： 攻击者未经授权访问具有提升权限的管理员或用户，并使用它登录敏感系统或创建自己的登录凭据。
如何防止权限提升攻击
攻击者使用许多权限提升技术来实现他们的目标。好消息是，如果您可以快速检测到成功或尝试的权限提升攻击，您就有很大的机会在入侵者发动主要攻击之前阻止他们。
为了首先尝试提权，攻击者通常需要获得对特权较低的帐户的访问权限。这意味着普通用户帐户是您的第一道防线，请确保投资于强大的 访问控制：
- 实施密码策略： 提高安全性的最简单方法之一是实施安全密码。不要重复使用密码，因为它们可能会在 大数据泄露中暴露出来。 请参阅我们的指南，了解如何创建强密码 并投资工具以 持续监控泄露的凭据。
- 创建具有最低必要权限和文件访问权限的专用用户和组：安全上下文中的最低权限原则 是指仅向普通用户提供他们完成工作所需的一组权限，仅此而已。 阅读我们的访问控制指南了解更多信息。虽然为每个用??户提供对所有资源的相同访问级别很方便，但它为攻击者提供了进入您组织的单点入口，在您的 数据安全、 信息安全 和 网络安全工作中采用深度防御要安全得多 。
- 投资于网络安全意识培训： 即使您的组织拥有强大、强制执行的密码策略，网络钓鱼和鱼叉式网络钓鱼等社会工程攻击也可能导致网络犯罪分子访问您的敏感系统。对您的员工和第三方供应商进行常见 网络威胁 以及如何避免它们的教育。启用 DMARC 以防止 电子邮件欺骗 并购买潜在 的仿冒 域名。
对于应用程序的安全性，至关重要的是：
- 避免应用程序中的常见编程错误： 遵循最佳实践以避免攻击者针对的常见错误，例如缓冲区溢出、代码注入和未经验证的用户输入。 阅读我们的服务器强化指南， 并 投资一个工具来监控意外数据泄露。
- 保护数据库并清理用户输入： 数据库是有吸引力的目标，因为许多 Web 应用程序将 敏感数据存储 在数据库中，包括登录凭据、用户数据和支付方式。一次 SQL 注入可以让攻击者访问所有这些信息，并允许他们发起额外的 网络攻击。糟糕的 配置管理 会导致 数据泄露 ，这就是为什么对 静态 和传输中的数据 进行加密很重要的原因。
并非所有的权限提升都依赖于用户帐户，可以通过利用应用程序操作系统和 配置管理中的漏洞来获得管理员权限，通过以下方式最小化您的攻击面：
- 保持系统和应用程序更新： 许多攻击 利用CVE中 列出的 已知 漏洞。通过保持一致的修补节奏，您可以最大限度地减少这种 网络安全风险。
- 确保文件、目录和 Web 服务器的权限正确： 遵循 最小权限原则，检查 S3 安全设置 ，确保只有需要访问的人才能访问。
- 关闭不必要的端口并删除未使用的帐户：默认系统配置通常包括在开放端口上运行的不必要服务和任意代码，每一个都是潜在的 攻击向量。删除默认和未使用的帐户，以避免攻击者和前雇员访问敏感系统。
- 避免使用默认登录凭据：这似乎很明显，但许多组织未能更改其设备（例如打印机、路由器和物联网设备）上的默认登录凭据。无论您的 网络安全性有多安全 ，一台路由器使用默认的管理员/密码登录凭据可能足以让攻击者入侵。
- 删除或限制文件传输功能： FTP、TFPT、wget、curl等文件传输功能是下载和执行恶意代码或恶意可写的常用方式。考虑删除这些工具或将它们的使用限制在特定目录、用户和应用程序中。
请记住 ，信息风险管理 和 信息安全政策 不能止步于您的组织：
- 监控您的第三方和第四方供应商： 攻击者可以利用您的供应商访问您的组织。这就是为什么 供应商风险管理 是防止特权升级攻击的基本部分。请记住，供应商风险管理是 FISMA、 GLBA、 PIPEDA 和 NIST 网络安全框架的监管要求。
- 避开网络安全性较差的供应商： 询问供应商的SOC 2报告和信息安全政策。
- 使您的供应商风险管理现代化： 开发 风险评估方法、 第三方风险管理框架 和 供应商管理政策。考虑使用已建立的 供应商风险评估问卷模板 ，您可以使用该模板来了解供应商的安全状况。
- 自动化供应商风险管理： 投资一种工具，该工具可以 根据 50 多个标准对供应商的安全状况进行评级 ，并为其分配 安全评级。这可以大大降低您的第三方风险和第四方风险。
如果您想了解您组织的外部安全状况， 请使用我们的免费安全扫描程序查看您的外部攻击面。
