权限提升攻击：原理、防范措施与工具
当恶意行为者利用配置错误、系统漏洞、弱密码或其他安全缺陷，从而非法获取对受保护资源的访问权限时，便会发生权限提升攻击。这种攻击通常始于攻击者获得对低权限账户的控制权。
在成功登录后，攻击者会仔细研究系统，寻找可进一步利用的漏洞。接下来，他们利用这些漏洞模拟合法用户，获取对目标资源的访问权，并执行各种未被发现的恶意任务。
权限提升攻击可分为垂直和水平两种类型。
垂直权限提升是指攻击者获得对某一账户的访问权限后，直接使用该账户执行更高权限的任务。而水平权限提升则指攻击者首先获得对一个或多个低权限账户的控制权，然后通过渗透系统获得更高的权限，例如执行管理员级别的操作。
这种权限的提升使攻击者能够执行各种破坏性活动，包括执行管理任务、部署恶意软件、修改安全设置、窃取数据，甚至破坏系统，为后续攻击留下后门。
与大多数网络攻击类似，权限提升攻击也依赖于系统、网络、服务和应用中的漏洞。因此，通过部署健全的安全措施和工具组合，可以有效地预防此类攻击。理想情况下，组织应部署能够扫描、检测和预防各种潜在和现有安全漏洞及威胁的解决方案。
预防权限提升攻击的最佳实践
组织必须保护其所有关键系统、数据以及其他可能对攻击者具有吸引力的区域。攻击者只需找到一个突破口。一旦进入，他们便会寻找可利用的漏洞以获得更高的权限。除了防范外部威胁，采取充分措施防止内部攻击同样至关重要。
虽然具体的措施可能因系统、网络、环境和其他因素而异，但以下是一些组织可用来保护其基础设施的技术。
保护和扫描网络、系统和应用
除了部署实时安全解决方案外，还必须定期扫描 IT 基础设施的所有组件，以发现可能允许新威胁渗透的漏洞。可以使用高效的漏洞扫描程序来查找未修补和不安全的操作系统和应用、配置错误、弱密码以及其他攻击者可利用的漏洞。
虽然可以使用各种漏洞扫描程序来识别过时软件的弱点，但全面更新或修补所有系统通常存在难度，特别是在处理遗留组件或大规模生产系统时。
对于这种情况，可以部署额外的安全层，例如在网络级别检测和阻止恶意流量的 Web 应用程序防火墙（WAF）。通常，即使底层系统未打补丁或已过时，WAF 也能提供保护。
妥善管理特权账户
管理特权账户并确保它们的安全、符合最佳实践并且不被暴露至关重要。安全团队需要对所有账户、它们的位置及其用途进行清点。
其他措施包括：
- 最小化特权账户的数量和范围，并监控和记录其活动。
- 分析每个特权用户或账户，识别并解决任何风险、潜在威胁、来源和攻击者的意图
- 主要攻击方式及防范措施
- 遵循最小特权原则
- 防止管理员共享账户和凭据。
监控用户行为
分析用户行为可以发现是否发生了身份泄露。通常，攻击者会针对那些能够提供组织系统访问权限的用户身份。如果他们成功获取凭据，他们将登录网络，并且可能会在一段时间内不被发现。
由于手动监控每个用户的行为非常困难，最好的方法是部署用户和实体行为分析（UEBA）解决方案。这种工具会随着时间的推移持续监控用户活动，创建一个合法的行为基线，用于发现代表妥协的异常活动。
生成的配置文件包含位置、资源、数据文件、用户访问的服务和频率、特定的内部和外部网络、主机数量以及执行的进程等信息。借助此信息，该工具可以识别偏离基线的可疑操作或参数。
实施强密码策略
建立并实施强有力的策略，以确保用户拥有唯一且难以猜测的密码。此外，使用多因素身份验证增加了额外的安全层，同时克服了在手动实施强密码策略时可能出现的漏洞。
安全团队还应部署必要的工具，例如密码审计器、策略执行器等，这些工具可以扫描系统，识别并标记弱密码或提示用户采取行动。强制工具确保用户在长度、复杂性和公司策略方面拥有强密码。
组织还可以使用企业密码管理工具来帮助用户生成和使用复杂且安全的密码，这些密码符合需要身份验证的服务的策略。
解锁密码管理器的多因素身份验证等额外措施进一步增强了其安全性，因此攻击者几乎不可能访问保存的凭据。典型的企业密码管理器包括 守护者, 达士兰, 1密码.
清理用户输入并保护数据库
攻击者可以使用易受攻击的用户输入字段和数据库来注入恶意代码、获取访问权限并破坏系统。因此，安全团队应使用强身份验证和有效的工具等最佳实践来保护数据库和各种数据输入字段。
除了修补数据库和清理所有用户输入之外，一个好的做法是加密所有传输中和静态的数据。其他措施包括将文件设置为只读，并将写入权限授予需要它们的组和用户。
培训用户
用户是组织安全链中最薄弱的环节。因此，重要的是要赋予他们能力并培训他们如何安全地执行任务。否则，用户的单击可能会导致整个网络或系统的破坏。一些风险包括打开恶意链接或附件、访问受感染的网站、使用弱密码等等。
理想情况下，组织应该有定期的安全意识计划。此外，他们应该有一种方法来验证培训是否有效。
权限提升攻击防范工具
防止权限提升攻击需要结合多种工具。这些工具包括但不限于以下解决方案。
用户和实体行为分析解决方案（UEBA）
Exabeam
这 Exabeam 安全管理平台 是一种快速且易于部署的基于 AI 的行为分析解决方案，有助于跟踪不同服务中的用户和账户活动。您还可以使用 Exabeam 从其他 IT 系统和安全工具中提取日志，对其进行分析，并识别和标记有风险的活动、威胁和其他问题。
功能包括：
- 记录并为事件调查提供有用的信息。 其中包括特定账户或用户首次访问服务、服务器或应用程序或资源时的所有会话，账户从新的 VPN 连接登录，从不寻常的国家等
- 可扩展的解决方案适用于单实例、云和本地部署。
- 根据正常和异常的账户或用户行为，创建一个全面的时间线，清楚地显示攻击者的完整路径。
Cynet 360
这 Cynet 360 平台 是提供行为分析、网络和端点安全的综合解决方案。 它允许您创建用户配置文件，包括他们的地理位置、角色、工作时间、对本地和基于云的资源的访问模式等。
该平台有助于识别异常活动，例如：
- 首次登录系统或资源
- 不寻常的登录位置或使用新的 VPN 连接
- 在很短的时间内到多个资源的多个并发连接
- 非工作时间访问资源的账户
密码安全工具
密码审计器
这 密码审计器 工具扫描主机名和 IP 地址，以自动识别网络服务和 Web 应用程序的弱凭据，例如 HTTP Web 表单、MYSQL、FTP、SSH、RDP、网络路由器和其他需要身份验证的服务。然后，它会尝试使用弱密码以及常见的用户名和密码组合登录，以识别并警告具有弱凭据的账户。
密码管理器专业版
这 ManageEngine密码管理器专业版 为您提供特权账户全生命周期的全面管控、监控、审计解决方案。它可以管理特权账户、SSL 证书、远程访问以及特权会话。
功能包括：
- 为服务器、网络组件、数据库和其他资源等关键系统自动执行频繁的密码重置
- 在集中且安全的保管库中存储和组织所有特权和敏感账户身份和密码。
- 使组织能够满足关键的安全审计以及符合 HIPAA、PCI、SOX 等监管标准
- 允许团队成员安全地共享管理密码。
漏洞扫描器
Invicti
Invicti 是一种可扩展的自动化漏洞扫描程序和管理解决方案，可以扩展以满足任何组织的要求。该工具可以扫描复杂的网络和环境，同时与其他系统（包括 CI/CD 解决方案、SDLC 等）无缝集成。它具有先进的功能，并经过优化以扫描和识别复杂环境和应用程序中的漏洞。
此外，您可以使用 Invicti 测试 Web 服务器是否存在攻击者可以利用的安全配置错误。通常，该工具可识别 Web 应用程序、Web 服务、网页、API 等中的 SQL 注入、远程文件包含、跨站点脚本（XSS）和其他 OWASP Top-10 漏洞。
Acunetix
Acunetix 是一个全面的解决方案，具有内置的漏洞扫描、管理和与其他安全工具的轻松集成。它有助于自动化漏洞管理任务，例如扫描和修复，从而使您能够节省资源。
功能包括：
- 与其他工具（如 Jenkins）、第三方问题跟踪器（如 GitHub、Jira、Mantis 等）集成。
- 本地和云部署选项
- 可定制以适应客户环境和要求以及跨平台支持。
- 快速识别和响应广泛的安全问题，包括常见的 Web 攻击、跨站点脚本（XSS）、SQL 注入、恶意软件、配置错误、暴露资产等。
特权访问管理（PAM）软件解决方案
JumpCloud
JumpCloud 是一种目录即服务（DaaS）解决方案，可安全地对用户进行身份验证并将其连接到网络、系统、服务、应用程序和文件。通常，可扩展的基于云的目录是一种管理、验证和授权用户、应用程序和设备的服务。
功能包括：
- 它创建了一个安全且集中的权威目录。
- 支持跨平台用户权限管理
- 提供单点登录功能，支持通过 LDAP、SCIM 和 SAML 2.0 控制用户对应用程序的访问。
- 提供对本地和云服务器的安全访问
- 支持多重身份验证
- 自动管理安全和相关功能，例如事件记录、脚本、API 管理、PowerShell 等。
Ping Identity
Ping Identity 是一个智能平台，提供多因素身份验证、单点登录、目录服务等。它使组织能够增强用户身份的安全性和体验。
特征：
- 提供安全可靠的身份验证和服务访问的单点登录
- 多因素身份验证，增加了额外的安全层
- 增强数据治理和遵守隐私法规的能力
- 提供大规模安全管理用户身份和数据的目录服务。
- 灵活的云部署选项，例如身份即服务（IDaaS）、容器化软件等。
Foxpass
Foxpass 是一种可扩展的企业级身份和访问控制解决方案，适用于内部部署和云部署。它提供 RADIUS、LDAP 和 SSH 密钥管理功能，确保每个用户只在允许的时间访问特定的网络、服务器、VPN 和其他服务。
该工具可以与 Office 365、Google Apps 等其他服务无缝集成。
AWS Secrets Manager
AWS Secrets Manager 为您提供可靠且有效的方法来保护访问服务、应用程序和其他资源所需的机密。它允许您轻松管理、轮换和检索 API 密钥、数据库凭据和其他机密。
您可以探索更多秘密管理解决方案。
结论
与网络攻击类似，权限提升攻击也利用系统和网络、服务以及应用程序中的漏洞。因此，通过部署正确的安全工具和实践可以有效地预防它们。
有效的措施包括强制执行最小权限、强密码和身份验证策略，保护敏感数据，减少攻击面，保护账户凭据等。其他措施包括使所有系统、软件和固件保持最新和修补，监控用户行为，以及培训用户安全计算实践。