防范权限提升攻击的六种手段

　　目前，主流的操作系统和业务系统都依赖权限管理来限制不同用户和设备对系统应用功能、业务数据和配置服务的访问。因此，访问权限是一项至关重要的安全特性，可以控制用户访问及使用系统或应用程序及关联资源的程度。通过观察很多安全事件发现，较低的权限将使攻击者访问活动受到很多的限制，也无法进行获取Hash、安装软件、修改防火墙规则和修改注册表等各种操作，所以攻击者往往会先进行权限提升攻击，在获取更高的访问权限后，在开展更具破坏性的其他攻击。

　　一、提权攻击的类型和原理

　　权限提升攻击的目的是，获得网络或在线服务中诸多系统和应用程序的额外权限，攻击主要分为两大类：

　　1.横向权限提升。这种攻击主要是用于获取更多同级别账号的权限，攻击者在成功访问现有的用户或设备账户之后，会利用各种渠道进入并控制更多其他用户账户。虽然这招不一定会让黑客获得更高等级权限，但如果黑客收集了大量攻击目标的用户数据及其他资源，可能会对受害者造成进一步危害。一些系统漏洞会导致跨站脚本、跨站伪造请求及其他类型的攻击，以获得另一个用户的登录凭据或身份验证数据，并获得访问账户的权限。

　　2.纵向权限提升。这是一种更加危险的权限升级攻击，因为攻击者也许能够控制整个网络。通常是多阶段网络攻击的第二个阶段。攻击者利用系统错误配置、漏洞、弱密码和薄弱的访问控制来获得管理权限;通过这种权限，他们就可以进而访问网络上的其他资源。一旦拥有更强大的权限，攻击者就可以安装恶意软件和勒索软件，改变系统设置，并窃取数据。

　　以下是恶意攻击者用来实施权限升级攻击的常见方法，前两种方法多用于横向权限升级攻击，但冲攻击者的最终目的分析，很多受攻击的账户最终还是被用于纵向权限提升。

　　社会工程攻击

　　社会工程攻击(包括网络钓鱼、水坑攻击和域欺骗)通常被用来诱骗用户泄露其账户凭据，就这种类型的攻击而言，攻击者不需要发动复杂的攻击，即可绕过系统的安全防御。

　　弱密码窃取

　　弱密码、重用密码或共享密码是攻击者未经授权访问账户的一条捷径。如果该账户拥有管理权限，整个网络应用系统会立即面临被严重破坏的危险。

　　系统配置错误

　　如果安全设置未严加保护或发生漂移，也让攻击者有机会获得过大的权限，拥有公共访问权的云存储桶就是例子。配置不当的网络防御(比如防火墙和敞开且不受保护的端口)，以及重要账户的默认密码和新安装应用程序的不安全默认设置(这两种情况在物联网设备上特别常见)，都为攻击者获取额外权限提供了可趁之机。

　　恶意软件攻击

　　有多种恶意软件(比如键盘记录器、内存抓取器和网络嗅探器)可以窃取用户密码。恶意软件一旦进入网络，获得被攻击账户的权限，就可以触发更危险的攻击。

　　系统漏洞

　　在系统的设计、实现或配置中任何暴露的漏洞都可能使攻击者能够通过执行恶意代码来获得shell访问权，从而获得账户权限。

　　二、防范权限升级攻击的六种手段

　　与任何网络攻击一样，权限升级攻击会综合利用网络上运行的诸多服务和应用程序的漏洞，尤其是访问控制薄弱的服务和应用程序。权限升级往往是全面网络攻击的一个关键性阶段，企业组织需要采取有效的安全控制措施来防止这类攻击，并定期维护。以下6种方法有助于企业IT系统更好应对权限提升攻击的威胁和挑战。

　　实施最小权限原则

　　实施最小权限原则，将用户和服务的访问权限限制到最低限度，这可以减小攻击者获得管理级权限的机会。安全团队和人力资源部门应该密切合作，实现统一权限管理，防止不必要的权限蔓延，尽量缩减权限账户的数量和范围，同时监控和记录账户的活动，这也有助于标记任何潜在的滥用活动，提前发现攻击风险。

　　及时补丁修复

　　及时进行补丁修复，减小攻击者发现可利用漏洞的机会，是阻止任何一种网络攻击的最佳方法。全面的补丁管理策略可以使攻击者更难利用系统和应用程序的漏洞。尤其是，企业应定期更新浏览器和杀毒软件。

　　执行漏洞扫描

　　定期扫描IT基础架构中所有部件/组件的漏洞，将使那些已经入网络的潜在攻击者更难在网络中站稳脚跟。漏洞扫描可以抢在潜在攻击者真正发起攻击前，更早发现错误配置、未记入文档的系统更改、未打补丁或不安全的操作系统和应用程序以及其他缺陷，从而避免被攻击者实际利用。

　　监控网络流量和行为

　　如果攻击者成功获得了网络用户的凭据，其行踪往往很难被发现，除非持续监控网络，留意各种不寻常的流量或异常性用户行为。用户和实体行为分析(UEBA)软件可以为合法行为设立基准，标记异常用户活动，发现一些被攻陷账户的潜在威胁。

　　制定强大的密码策略

　　密码策略是防止横向权限升级攻击的有效方法，与多因素身份验证(MFA)结合使用尤其有效。第三方密码管理工具可以帮助用户生成并安全存储满足安全策略规则的独特且复杂的密码。所有拥有管理权限的账户都应该要求采用MFA，而用于机器身份验证的数字凭据则应该定期轮换。

　　开展安全意识培训

　　人通常是任何组织的安全中最薄弱的一环。他们可能使用弱密码、点击恶意链接或附件，忽略有关危险网站的警告，从而不知不觉中帮助权限升级攻击。定期开展安全意识培训，可确保新的威胁得到清楚的解释，并使员工对安全策略记忆犹新。应强调共享账户和凭据带来的危险和风险。

　　权限升级攻击是最严重的攻击之一。一项经过充分演练的应急方案至关重要。如果发现权限升级事件，必须迅速隔离被攻击的账户，修改密码，然后禁用该账户。随后，安全团队必须进行深入调查，以发现攻击的程度，并确定被攻击的资源。