Was ist Privilegieneskalation und warum sollte Sie das interessieren?

Eine gängige Hacking-Methode besteht darin, Informationen zu stehlen, indem man sich zunächst Zugriff auf eine untergeordnete Ebene auf Ihr Netzwerk verschafft. Dies kann auf unterschiedliche Weise geschehen: über einen Druckserver, über eine Phishing-E-Mail oder durch die Ausnutzung eines Fernsteuerungsprogramms mit schlechter Sicherheit. Sobald der Hacker drin ist, erweitert er seine Zugriffsrechte, bis er minimal geschützte Administratorkonten findet. Hier beginnt der eigentliche Schaden und Datendiebstahl. Angesichts der Anzahl der im Internet verfügbaren Server und wiederverwendeten Passwörter kommt dieser grobe Angriff häufiger vor, als irgendjemand zugeben möchte, und kann eine sehr große Bedrohung darstellen. Die gute Nachricht ist, dass die Behebung dieses Problems nicht sehr schwierig ist, sondern nur Fleiß und Wachsamkeit erfordert. Es hilft auch, wenn Sie über die richtige Schutzsoftware verfügen, wie Sie sie beispielsweise bei EventTracker erwerben können, um diese Art von „Privilege-Eskalations“-Angriffen zu stoppen.

Das erste, was Sie tun müssen, ist, zu verstehen, wie verbreitet dies tatsächlich ist, und nicht Ihre Hand in der virtuellen Sandbox zu vergraben. Betrachten Sie den Black Hat 2015 Hacker Survey Report, der letzten Dezember im Auftrag von Thycotic erstellt wurde. Die Ergebnisse zeigten, dass 20 % der Befragten „ständig“ in der Lage waren, Zugangsdaten zu privilegierten Konten zu stehlen. Wow. Und was noch schlimmer ist: Drei Viertel der während der Konferenz Befragten sahen in letzter Zeit auch keine Verbesserungen bei der Sicherheit privilegierter Konten. Um noch deprimierender zu sein: Nur sechs Prozent der Befragten konnten niemals Kontoinformationen finden, als sie in ein Netzwerk eindrangen

Zugegeben, die Umfrage ist etwas eigennützig, da Thycotic (wie EventTracker) Sicherheitstools verkauft, um Privilegieneskalationsereignisse zu verfolgen und zu verhindern.

Als nächstes sollten Sie verstehen, wie die Hacker vorgehen und mit welchen Methoden sie in Ihr Netzwerk eindringen. Einen tollen Play-by-Play-Artikel finden Sie hier im Admin-Magazin. Der Autor zeigt Ihnen, wie sich ein typischer Hacker durch Ihr Netzwerk bewegen, Informationen sammeln und versuchen kann, verschiedene Dateien zu öffnen und ungeschützte Konten zu finden. In dem für den Artikel verwendeten Beispielsystem fand der Autor „einen sehr alten Kernel, 28 offene Ports für eingehende Verbindungen und 441 installierte und seit einiger Zeit nicht aktualisierte Pakete.“ „Das ist sicherlich sehr typisch.

Was können Sie also tun, um in diesem Bereich proaktiver zu sein? Erstens: Wenn Sie eines dieser Tools nicht verwenden, probieren Sie es noch heute aus. Sie sollten auf jeden Fall eines in Ihrem Arsenal haben, und ich sage das nicht nur, weil ich diesen Blog hier schreibe. Sie sind unverzichtbare Sicherheitstools für jedes Unternehmen.

Zweitens: Bereinigen Sie Ihr Server-Passwort-Portfolio. Sie möchten privilegierte Konten und den gemeinsamen Administratorzugriff auf wichtige lokale Windows- und Linux-Server stärken (Lieberman Software bietet einen sogenannten Enterprise Random Password Manager an, der dies ganz gut erledigt). Jedes von Ihnen verwendete Produkt sollte alle Serverkennwörter erkennen und stärken, sie dann verschlüsseln und in einem elektronischen Tresor speichern und sie so oft ändern, wie es Ihre Kennwortrichtlinien vorschreiben. Solche Tools melden auch die Ressourcen, die immer noch ihre Standardkennwörter verwenden: ein absolutes Tabu und eine der einfachsten Möglichkeiten für einen Hacker, sich Zugang zu Ihrem Netzwerk zu verschaffen.

Eine Alternative oder Ergänzung zur Passwortbereinigung ist die Verwendung eines Single-Sign-On-Tools, das Anmeldungen automatisieren und gleichzeitig Passwörter stärken kann. Für diesen Zweck gibt es mehr als ein Dutzend verschiedene Tools: Ich habe vor etwa einem Jahr hier eine Reihe davon für Network World getestet.

Überprüfen Sie als Nächstes regelmäßig Ihr Konto und Ihre Zugriffsprotokolle, um festzustellen, ob jemand kürzlich ein privilegierter Benutzer geworden ist. Viele Sicherheitstools stellen diese Informationen bereit: Der Trick besteht darin, sie regelmäßig zu verwenden und nicht nur einmal beim ersten Kauf. Senden Sie sich selbst eine Erinnerung, wenn Sie den zusätzlichen Anreiz benötigen.

Fangen Sie endlich an, wie ein Hacker zu denken. Machen Sie sich mit Tools wie Metasploit und BackTrack vertraut, mit denen Sie in ein Remote-Netzwerk eindringen und etwaige Schwachstellen erkennen können. Kenne deinen Feind!