Was ist Privilege Escalation?

Privilege Escalation ist die Ausnutzung eines Programmierfehlers, einer Schwachstelle, eines Designfehlers, eines Konfigurationsversehens oder einer Zugriffskontrolle in einem Betriebssystem oder einer Anwendung, um unbefugten Zugriff auf Ressourcen zu erhalten, die normalerweise für die Anwendung oder den Benutzer eingeschränkt sind.

Dies führt dazu, dass die Anwendung oder der Benutzer über mehr Berechtigungen verfügt, als vom Entwickler oder Systemadministrator beabsichtigt, wodurch Angreifer Zugriff auf sensible Daten erhalten, Malware installieren und andere Cyberangriffe starten können.

Wie funktioniert die Rechteausweitung?

Die meisten Computersysteme sind für die Verwendung mit mehreren Benutzerkonten konzipiert, von denen jedes über Fähigkeiten verfügt, die als Privilegien bezeichnet werden. Zu den allgemeinen Berechtigungen gehört die Möglichkeit, Dateien anzuzeigen, zu bearbeiten oder zu ändern.

Privilege Escalation bedeutet, dass ein Angreifer Zugriff auf Privilegien erhält, auf die er keinen Anspruch hat, indem er eine Privilege Escalation-Schwachstelle in einem Zielsystem oder einer Zielanwendung ausnutzt, wodurch er die Einschränkungen des aktuellen Benutzerkontos außer Kraft setzen kann.

Die Rechteausweitung ist eine gängige Methode für böswillige Benutzer, um ersten Zugriff auf ein System zu erhalten. Angreifer beginnen damit, eine Schwachstelle in der Cybersicherheit eines Unternehmens zu finden, um sich einen ersten Zugang zu einem System zu verschaffen.

In vielen Fällen bietet der erste Penetrationspunkt den Angreifern nicht die Zugriffsebene oder den Zugriff auf das Dateisystem, den sie benötigen. Sie werden dann versuchen, die Berechtigungen auszuweiten, um mehr Berechtigungen zu erhalten oder Zugriff auf weitere, sensiblere Systeme zu erhalten.

In einigen Situationen stellen Angreifer, die eine Rechteausweitung versuchen, fest, dass die Türen weit offen stehen. Unzureichende Informationssicherheit, die Nichtbeachtung des Prinzips der geringsten Privilegien und ein Mangel an tiefgreifender Verteidigung führen dazu, dass normale Benutzer mehr Berechtigungen haben, als sie benötigen.

In anderen Fällen nutzen Angreifer eine schlechte Patching-Kadenz und Zero-Day-Schwachstellen aus oder verwenden bestimmte Techniken, um den Berechtigungsmechanismus eines Betriebssystems zu umgehen.

Warum ist es wichtig, eine Privilegienausweitung zu verhindern?

Obwohl die Privilegienausweitung in der Regel nicht das Endziel eines Angreifers ist, wird sie häufig zur Vorbereitung eines spezifischeren Cyberangriffs eingesetzt, da sie es Eindringlingen ermöglicht, eine bösartige Nutzlast einzusetzen, Sicherheitseinstellungen anzupassen und zusätzliche Angriffsvektoren im Zielsystem zu eröffnen.

Wann immer Sie eine Privilegienausweitung feststellen oder vermuten, verwenden Sie digitale Forensik, um Anzeichen für andere bösartige Aktivitäten wie Computerwürmer, Malware, Unternehmensspionage, Datenschutzverletzungen, Datenlecks, Man-in-the-Middle-Angriffe und gestohlene personenbezogene Daten (PII), geschützte Gesundheitsinformationen (PHI), psychografische Daten oder biometrische Daten zu finden.

Auch ohne Beweise für weitere Angriffe stellen Privilege Escalation-Vorfälle ein erhebliches Cybersicherheitsrisiko dar, da sie bedeuten, dass sich jemand unbefugten Zugriff auf ein privilegiertes Konto und vertrauliche oder sensible Informationen verschafft hat.

In vielen Branchen müssen diese Vorfälle intern und an die zuständigen Behörden gemeldet werden, um die Einhaltung gesetzlicher Vorschriften zu gewährleisten.

Welche zwei Arten der Privilegienausweitung gibt es?

Es gibt zwei Haupttechniken zur Rechteausweitung:

Vertikale Privilegienausweitung (Privilege Elevation): Ein Angreifer versucht, mit einem vorhandenen Konto, das er kompromittiert hat, höhere Privilegien oder Zugriff zu erlangen. Beispiel: Ein Angreifer übernimmt ein reguläres Benutzerkonto in einem Netzwerk und versucht, sich Administratorrechte zu verschaffen. In der Regel der Administrator oder Systembenutzer auf Microsoft Windows oder root auf Unix- und Linux-Systemen. Sobald sie erhöhte Berechtigungen erlangt haben, können Angreifer sensible Daten über einen bestimmten Benutzer stehlen, Ransomware, Spyware oder andere Arten von Malware installieren, bösartigen Code ausführen und die Sicherheitslage Ihres Unternehmens beschädigen.
Horizontale Privilegienausweitung: Ein Angreifer erweitert seine Privilegien, indem er ein privilegiertes Konto übernimmt und die legitimen Privilegien, die dem Benutzer gewährt wurden, missbraucht. Bei lokalen Privilegien-Eskalationsangriffen kann dies bedeuten, dass ein Konto mit Administratorrechten oder Root-Rechten gekapert wird, bei Webanwendungen kann dies bedeuten, Zugriff auf das Bankkonto eines Benutzers oder das Administratorkonto einer SaaS-App zu erhalten.

Was sind Beispiele für die Ausweitung von Berechtigungen?

Drei gängige Techniken zur Rechteausweitung sind:

Manipulation von Zugriffstoken: Nutzt die Art und Weise, wie Microsoft Windows Administratorrechte verwaltet. Normalerweise verwendet Windows Zugriffstoken, um die Besitzer ausgeführter Prozesse zu bestimmen. Bei der Token-Manipulation täuscht der Angreifer das System vor, dass die laufenden Prozesse zu einem anderen Benutzer gehören als dem, der den Prozess tatsächlich gestartet hat. In diesem Fall übernimmt der Prozess den Sicherheitskontext, der dem Zugriffstoken des Angreifers zugeordnet ist. Hierbei handelt es sich um eine Form der Erhöhung von Berechtigungen oder der vertikalen Rechteausweitung.
Umgehung der Benutzerkontensteuerung: Windows verfügt über einen strukturierten Mechanismus zum Steuern von Benutzerrechten, der als Benutzerkontensteuerung (User Account Control, UAC) bezeichnet wird und als Barriere zwischen normalen Benutzern und Administratoren dient und Standardbenutzerberechtigungen einschränkt, bis ein Administrator erhöhte Berechtigungen autorisiert. Wenn die UAC-Schutzebene auf einem Computer jedoch nicht ordnungsgemäß konfiguriert ist, können einige Windows-Programme Berechtigungen erhöhen oder COM-Objekte (Component Object Model) ausführen, ohne zuvor Administratorrechte anzufordern. Der rundll32.exe kann z. B. eine Dynamic Link Library (DLL) laden, die ein COM-Objekt mit erhöhten Rechten lädt, sodass Angreifer die Benutzerkontensteuerung umgehen und Zugriff auf geschützte Verzeichnisse erhalten können.
Verwendung gültiger Konten: Angreifer verschaffen sich unbefugten Zugriff auf einen Administrator oder Benutzer mit erhöhten Rechten und verwenden diesen, um sich bei einem sensiblen System anzumelden oder ihre eigenen Anmeldeinformationen zu erstellen.

So verhindern Sie Privilege Escalation-Angriffe

Angreifer verwenden viele Techniken zur Ausweitung von Berechtigungen, um ihre Ziele zu erreichen. Die gute Nachricht ist, dass Sie eine gute Chance haben, Eindringlinge zu stoppen, bevor sie ihren Hauptangriff starten können, wenn Sie erfolgreiche oder versuchte Angriffe zur Rechteausweitung schnell erkennen können.

Um überhaupt eine Privilegienausweitung zu versuchen, müssen sich Angreifer in der Regel Zugang zu einem weniger privilegierten Konto verschaffen. Das bedeutet, dass reguläre Benutzerkonten Ihre erste Verteidigungslinie sind, stellen Sie sicher, dass Sie in eine starke Zugriffskontrolle investieren:

Durchsetzung von Passwortrichtlinien: Eine der einfachsten Möglichkeiten zur Verbesserung der Sicherheit besteht darin, sichere Passwörter durchzusetzen. Verwenden Sie Passwörter nicht wieder, da diese bei großen Datenschutzverletzungen offengelegt werden können. Sehen Sie sich unseren Leitfaden an, wie Sie sichere Passwörter erstellen und in ein Tool investieren, um kontinuierlich auf kompromittierte Anmeldeinformationen zu überwachen.
Erstellen Sie spezialisierte Benutzer und Gruppen mit minimalen erforderlichen Rechten und Dateizugriff: Das Prinzip der geringsten Rechte in einem Sicherheitskontext bezieht sich darauf, normalen Benutzern nur die Berechtigungen zur Verfügung zu stellen, die sie für ihre Arbeit benötigen, und nicht mehr. Lesen Sie unseren Leitfaden zur Zutrittskontrolle für weitere Informationen. Während es praktisch ist, jedem Benutzer den gleichen Zugriff auf alle Ressourcen zu gewähren, bietet es Angreifern einen einzigen Einstiegspunkt in Ihr Unternehmen, aber es ist weitaus sicherer, eine tiefgreifende Verteidigung in Ihren Bemühungen um Datensicherheit, Informationssicherheit und Netzwerksicherheit einzusetzen.
Investieren Sie in Schulungen zum Thema Cybersicherheit: Selbst wenn Ihr Unternehmen über eine robuste, durchgesetzte Passwortrichtlinie verfügt, können Social-Engineering-Angriffe wie Phishing und Spear-Phishing dazu führen, dass sich Cyberkriminelle Zugang zu Ihren sensiblen Systemen verschaffen. Informieren Sie Ihre Mitarbeiter und Drittanbieter über gängige Cyberbedrohungen und darüber, wie Sie diese vermeiden können. Aktivieren Sie DMARC, um E-Mail-Spoofing zu verhindern und potenzielle Typosquatting-Domains zu kaufen.

Für die Anwendungssicherheit ist Folgendes von entscheidender Bedeutung:

Vermeiden Sie häufige Programmierfehler in Anwendungen: Befolgen Sie Best Practices, um häufige Fehler zu vermeiden, die von Angreifern ins Visier genommen werden, z. B. Pufferüberläufe, Code-Injektionen und nicht validierte Benutzereingaben. Lesen Sie unseren Leitfaden zur Serverhärtung und investieren Sie in ein Tool, um unbeabsichtigte Datengefährdungen zu überwachen.
Sichern Sie Datenbanken und bereinigen Sie Benutzereingaben: Datenbanken sind attraktive Ziele, da viele Webanwendungen sensible Daten in Datenbanken speichern, einschließlich Anmeldedaten, Benutzerdaten und Zahlungsmethoden. Eine SQL-Injection kann Angreifern Zugriff auf all diese Informationen verschaffen und es ihnen ermöglichen, weitere Cyberangriffe zu starten. Ein schlechtes Konfigurationsmanagement kann zu Datenlecks führen, weshalb es wichtig ist, Daten im Ruhezustand und während der Übertragung zu verschlüsseln.

Nicht jede Rechteausweitung beruht auf Benutzerkonten, Administratorrechte können durch die Ausnutzung von Schwachstellen in Anwendungen, Betriebssystemen und Konfigurationsmanagement erlangt werden. Minimieren Sie Ihre Angriffsfläche durch:

Systeme und Anwendungen auf dem neuesten Stand halten: Viele Angriffe nutzen bekannte Schwachstellen aus, die in CVE aufgeführt sind. Durch die Einhaltung eines konsistenten Patch-Rhythmus minimieren Sie dieses Cybersicherheitsrisiko.
Sicherstellung der korrekten Berechtigungen für Dateien, Verzeichnisse und Webserver: Befolgen Sie das Prinzip der geringsten Rechte, überprüfen Sie die S3-Sicherheitseinstellungen und stellen Sie sicher, dass nur diejenigen Zugriff haben, die Zugriff benötigen.
Schließen nicht benötigter Ports und Entfernen ungenutzter Konten: Standard-Systemkonfigurationen enthalten oft unnötige Dienste und willkürlichen Code, der auf offenen Ports ausgeführt wird, wobei jeder ein potenzieller Angriffsvektor darstellt. Entfernen Sie standardmäßige und ungenutzte Konten, um zu verhindern, dass Angreifer und ehemalige Mitarbeiter Zugriff auf sensible Systeme erhalten.
Vermeidung von Standard-Anmeldedaten: Dies mag offensichtlich erscheinen, aber viele Unternehmen ändern die Standard-Anmeldeinformationen auf ihren Geräten wie Druckern, Routern und IoT-Geräten nicht. Unabhängig davon, wie sicher Ihre Netzwerksicherheit ist, kann ein Router, der die standardmäßigen Admin-/Passwort-Anmeldeinformationen verwendet, für einen Angreifer ausreichen, um einzudringen.
Entfernen oder Einschränken der Dateiübertragungsfunktionalität: FTP, TFPT, wget, curl und andere Dateiübertragungsfunktionen sind eine gängige Methode zum Herunterladen und Ausführen von bösartigem oder bösartigem beschreibbarem Code. Erwägen Sie, diese Tools zu entfernen oder ihre Verwendung auf bestimmte Verzeichnisse, Benutzer und Anwendungen zu beschränken.

Und denken Sie daran, dass das Informationsrisikomanagement und Ihre Informationssicherheitsrichtlinie nicht bei Ihrem Unternehmen aufhören dürfen:

Überwachen Sie Ihre Drittanbieter und Viertanbieter: Angreifer können Ihre Anbieter nutzen, um sich Zugang zu Ihrem Unternehmen zu verschaffen. Aus diesem Grund ist das Vendor Risk Management ein grundlegender Bestandteil der Abwehr von Privilege Escalation-Angriffen. Denken Sie daran, dass das Risikomanagement von Anbietern eine regulatorische Anforderung für FISMA, GLBA, PIPEDA und das NIST Cybersecurity Framework ist.
Vermeiden Sie Anbieter mit schlechter Cybersicherheit: Fragen Sie nach dem SOC 2-Bericht und der Informationssicherheitsrichtlinie Ihres Anbieters.
Modernisieren Sie Ihr Lieferantenrisikomanagement: Entwickeln Sie eine Risikobewertungsmethode, ein Risikomanagement-Framework für Drittanbieter und eine Richtlinie für das Lieferantenmanagement. Erwägen Sie die Verwendung einer etablierten Fragebogenvorlage für die Risikobewertung von Anbietern, die Sie verwenden, um die Sicherheitslage Ihrer Anbieter zu verstehen.
Automatisieren Sie das Risikomanagement von Anbietern: Investieren Sie in ein Tool, das die Sicherheitslage Ihrer Anbieter anhand von 50+ Kriterien bewerten und ihnen eine Sicherheitsbewertung zuweisen kann. Dies kann Ihr Third-Party-Risiko und das Fourth-Party-Risiko erheblich reduzieren.

Wenn Sie sich ein Bild von der externen Sicherheitslage Ihres Unternehmens machen möchten, verwenden Sie unseren kostenlosen Sicherheitsscanner, um Ihre externe Angriffsfläche zu sehen.

Unternehmen wie Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar und NASA nutzen UpGuard, um ihre Daten zu schützen, Datenschutzverletzungen zu verhindern, auf Schwachstellen zu überwachen und Malware zu vermeiden.

Wir sind Experten für Datenschutzverletzungen und Datenlecks, unsere Forschung wurde in der New York Times, dem Wall Street Journal, Bloomberg, der Washington Post, Forbes, Reuters und Techcrunch veröffentlicht.

UpGuard Vendor Risk kann den Zeitaufwand Ihres Unternehmens für die Verwaltung von Beziehungen zu Drittanbietern minimieren, indem es Lieferantenfragebögen automatisiert und die Sicherheitslage Ihrer Anbieter im Laufe der Zeit kontinuierlich überwacht, während sie mit ihrer Branche verglichen werden.

Jeder Anbieter wird anhand von 50+ Kriterien bewertet, wie z. B. das Vorhandensein von SSL und DNSSEC sowie das Risiko von Domain-Hijacking, Man-in-the-Middle-Angriffen und E-Mail-Spoofing für Phishing.

Jeden Tag bewertet unsere Plattform Ihre Anbieter mit einem Cyber Security Rating von 950. Wir benachrichtigen Sie, wenn ihre Punktzahl sinkt.