Was ist Privilege Elevation und warum ist es bedeutend?

Privilegienerweiterung ist eine gängige Taktik, die heute in fast jedem Cyberangriff vorkommt. Bösartige Insider, Ransomware-Banden und andere Bedrohungsakteure nutzen sie oft in Kombination mit lateraler Bewegung, um durch ein Opfernetzwerk zu navigieren und unbefugten Zugriff auf sensible IT-Ressourcen zu erlangen. Erhöhte Zugriffsrechte sind entscheidend für bösartige Aktivitäten, einschließlich des Diebstahls sensibler Daten, der Störung von Geschäftsabläufen und der Schaffung von Hintertüren für zukünftige Angriffsphasen. Aufgrund der weit verbreiteten Nutzung von Active Directory, sind Windows-Privilegienerweiterungsangriffe häufiger als Linux-Privilegienangriffe, dennoch werden beide in der Praxis beobachtet.

Warum erhöhte Privilegien für Angreifer wichtig sind

Erhöhte Privilegien sind der Schlüssel zum Königreich, den Bedrohungsakteure benötigen, um Systemkonfigurationen, Datenberechtigungen und Sicherheitskontrollen zu ändern. Angreifer erlangen in der Regel über ein kompromittiertes Standardbenutzerkonto Zugang zu einem Netzwerk. Die Privilegienerhöhung wird erreicht, indem die Anmeldeinformationen eines Systemadministrators oder eines Kontos mit hohem Dienstlevel gestohlen werden; dies ermöglicht Zugang zu kritischen Servern, Netzwerkgeräten, Datenrepositories und Backup-Systemen.

Leider ist es selbst für unerfahrene Hacker oft einfach, Privilegien zu eskalieren, da vielen Organisationen angemessene Sicherheitsmaßnahmen fehlen. Tatsächlich wird der Zugriffskontrolle zu oft mit Blick auf Bequemlichkeit konfiguriert, anstatt die Durchsetzung des Principle of Least Privilege zu gewährleisten.

Horizontaler vs Vertikaler Privileged Access Management

Cyberangriffe beinhalten oft die Ausnutzung einer Art von Schwachstelle, wie ein ungepatchtes System, unsachgemäße Konfiguration oder Programmierfehler. Sobald ein System kompromittiert wurde, führt der Angreifer eine Aufklärung durch, um privilegierte Benutzer zu identifizieren, die kompromittiert werden können, und Wege zu finden, die Zugriffsrechte von Konten, die sie bereits kontrollieren, zu erhöhen.

Es gibt zwei Arten von Privilegienerweiterung, die Bedrohungsakteure nutzen:

• Horizontale Privilegienerweiterung — Ein Angreifer kompromittiert ein Konto und erlangt dann Zugang zu denselben Privilegien oder Berechtigungen wie ein anderer Benutzer oder eine andere Anwendung auf einem anderen System. Zum Beispiel könnte ein Gegner nach dem Kompromittieren des Kontos eines Internetbanking-Nutzers Zugang zum Konto eines anderen Nutzers erlangen, indem er dessen ID und Passwort herausfindet.
• Vertikale Privilegienerweiterung (auch bekannt als Erhöhung der Privilegien oder EoP) — Ein bösartiger Benutzer erhält Zugang zu einem Konto mit niedrigeren Rechten und nutzt eine Schwachstelle im System aus, um administrative oder Root-Zugriffsrechte für eine Ressource oder ein System zu erlangen. Vertikale Privilegienerweiterung erfordert ausgefeiltere Angriffstechniken als horizontale Privilegienerweiterung, wie zum Beispiel Hacking-Tools, die dem Angreifer helfen, erweiterten Zugang zu Systemen und Daten zu erlangen.

Wie kommt es zur Privilegienerweiterung?

Angreifer, die versuchen, unbefugte Aktionen durchzuführen, nutzen oft Privilegienerweiterungsexploits. Diese Exploits beinhalten bekannte oder entdeckte Schwachstellen, die ein Betriebssystem, eine Softwarekomponente oder eine Sicherheitsfehlkonfiguration betreffen. Der Angriff umfasst normalerweise diesen fünfstufigen Prozess:

1. Finden Sie eine Schwachstelle.
2. Erstellen Sie den zugehörigen Privilege Escalation Exploit.
3. Verwenden Sie den Exploit auf einem System.
4. Überprüfen Sie, ob es das System erfolgreich ausnutzt.
5. Erhalten Sie zusätzliche Berechtigungen, falls notwendig.

Was sind die wichtigsten Techniken zur Privilegienerweiterung?

Es gibt mehrere Techniken zur Rechteerweiterung, die Angreifer verwenden. Drei der häufigsten sind:

• Zugriffstoken manipulieren
• Umgehung der Benutzerkontensteuerung
• Verwendung gültiger Konten

Technik 1: Manipulation von Zugriffstoken

Die Manipulation von Zugriffstoken nutzt die Art und Weise aus, wie Windows Admin-Rechte verwaltet. Ein Zugriffstoken wird von einem Windows-System zum Zeitpunkt der Benutzeranmeldung erstellt. Durch die Modifikation eines Zugriffstokens kann ein Angreifer das System täuschen und sich so erlauben, eine Systemaufgabe auszuführen oder Zugang zu einem laufenden Prozess oder Dienst zu erhalten, der erhöhte Privilegien erfordert.

Angreifer können Zugriffstoken auf eine von drei Methoden nutzen:

• Ein Token fälschen oder stehlen — Ein Angreifer kann ein neues Zugriffstoken erstellen, das ein bestehendes Token mit der Funktion DuplicateToken(Ex) dupliziert. Das Token kann dann mit der Funktion ImpersonateLoggedOnUser verwendet werden, um dem aufrufenden Thread zu ermöglichen, den Sicherheitskontext eines angemeldeten Benutzers zu imitieren, oder mit der Funktion SetThreadToken, um das imitierte Token einem Thread zuzuweisen.
• Erstellen Sie einen Prozess mit einem Token — Dies geschieht, wenn ein Angreifer ein neues Zugriffstoken mit der Funktion DuplicateToken(Ex) erstellt und es mit der Funktion CreateProcessWithTokenW verwendet, um einen neuen Prozess zu erstellen, der unter dem Sicherheitskontext des imitierten Benutzers läuft. Dies kann nützlich sein, um einen neuen Prozess unter dem Sicherheitskontext eines anderen Benutzers zu erstellen.
• Token-Imitation — Hier verfügt ein Angreifer über Benutzername und Passwort, aber der Benutzer ist nicht im System angemeldet. Der Angreifer kann mit Hilfe von LogonUser eine Anmeldesitzung für den Benutzer erstellen. Die Funktion gibt eine Kopie des Zugriffstokens der neuen Sitzung zurück, und der Angreifer kann SetThreadToken verwenden, um dieses Token einem Thread zuzuweisen.

Wie man diese Bedrohung mildert

Zugriffstoken sind ein integraler Bestandteil des Windows-Sicherheitssystems und können nicht deaktiviert werden. Ein Angreifer muss jedoch bereits Administratorzugriff besitzen, um diese Technik vollständig nutzen zu können. Daher müssen Sie Zugriffsrechte gemäß dem Prinzip der geringsten Rechte zuweisen und sicherstellen, dass alle Zugriffsrechte regelmäßig überprüft werden. Sie müssen auch privilegierte Konten sorgfältig überwachen und umgehend auf Anzeichen verdächtiger Aktivitäten dieser Konten reagieren. Idealerweise können Sie fast alle dauerhaften administrativen Konten durch just-in-time access ersetzen.

Technik 2: Umgehung der Benutzerkontensteuerung

Die Benutzerkontensteuerung (UAC) von Windows dient als Tor zwischen normalen Benutzern und Konten mit Administratorrechten. Sie beschränkt die Anwendungssoftware auf Standardbenutzerberechtigungen, bis ein Administrator eine Erhöhung der Privilegien autorisiert. Es erfordert, dass ein Administrator seine Anmeldeinformationen eingibt, um die Aufforderung zu umgehen. Auf diese Weise erhalten nur von dem Benutzer vertrauenswürdige Anwendungen administrative Privilegien, was verhindert, dass Malware das Betriebssystem kompromittiert.

Dieser Mechanismus ist jedoch nicht perfekt. Wenn die UAC-Schutzstufe eines Computers auf etwas anderes als die höchste Stufe eingestellt ist, dürfen einige Windows-Programme Berechtigungen erhöhen oder Component Object Model (COM)-Objekte ausführen, die erhöht sind, ohne den Benutzer zuerst aufzufordern.

Wie man diese Bedrohung minimiert

Sie müssen Ihre IT-Umgebung regelmäßig auf gängige Schwachstellen bei der Umgehung der Benutzerkontensteuerung (UAC) überprüfen und die Risiken entsprechend angehen. Eine weitere gute Praxis ist, regelmäßig zu überprüfen, welche Konten sich in Ihren lokalen Administratorengruppen auf allen Windows-Systemen befinden und normale Benutzer aus diesen Gruppen zu entfernen. Dies können Sie mit Group Policy oder Intune tun.

Technik 3: Verwendung gültiger Konten

Angreifer können Techniken wie Credential Stuffing, Konto-Manipulation oder Social Engineering nutzen, um die Anmeldeinformationen legitimer Benutzer zu kompromittieren. Sie können sogar Zugang zu entfernten Systemen und Diensten über eine VPN- oder Remote-Desktop-Verbindung erlangen. Eine der Hauptbedenken hierbei ist die Überschneidung von Anmeldeinformationen und Berechtigungen im Netzwerk, da Angreifer möglicherweise zwischen Konten und Systemen wechseln können, um eine höhere Zugriffsebene zu erreichen, wie zum Beispiel Domain Admin oder Enterprise Admin.

Wie man diese Bedrohung mildert

Eine der effektivsten Methoden, um dieser Bedrohung entgegenzuwirken, ist die Durchsetzung einer starken password policy für alle Konten, die Anforderungen an Passwortlänge und -komplexität umfasst. Ändern Sie außerdem regelmäßig die Passwörter aller administrativen Konten und verwenden Sie einzigartige Passwörter für das lokale Admin-Konto auf jedem System, um zu verhindern, dass Angreifer sich durch Kompromittierung eines einzigen lokalen Admin-Kontos nach Belieben lateral durch das Netzwerk bewegen.

Es ist auch wichtig, Ihre IT-Umgebung auf verdächtiges Benutzerverhalten zu überwachen, das auf eine laufende Bedrohung hinweisen könnte. Eine frühzeitige Erkennung ist unerlässlich.

Wie man sich gegen Privilege Escalation schützt

Obwohl es keine Möglichkeit gibt, Ihre Umgebung vollständig gegen Hacker und böswillige Insider abzusichern, die darauf abzielen, Privilegien zu eskalieren, können Sie das Risiko der Privilegieneskalation verringern, indem Sie die Angriffsflächen Ihrer Endpunkt-Betriebssysteme und Software härten und das Principle of Least Privilege für alle Ressourcen durchsetzen. Sie sollten auch Multifaktor-Authentifizierung verlangen, um eine bessere Sicherheit zu gewährleisten, wann immer dies aufgrund des mit der versuchten Aktivität verbundenen Risikos gerechtfertigt ist. Führen Sie regelmäßige Risikobewertungen durch, um Risiken für Ihre sensiblen Dateien zu erkennen und zu bewerten, und ergreifen Sie Schritte, um Daten gemäß ihrem Wert zu sichern.

Viele Unternehmen nutzen irgendeine Art von Privileged Access Management (PAM) Lösung. Die Netwrix Privileged Access Management Solution bietet Ihnen Einblick in die Privilegien über alle Ihre Systeme und Anwendungen hinweg. Sie warnt Sie, wenn neue privilegierte Konten erstellt oder geändert werden, und entdeckt privilegierte Konten, von denen Sie möglicherweise gar nichts wissen. Kurz gesagt, sie gibt Ihnen die Kontrolle über Privilegien in Ihrer gesamten IT-Landschaft.

Die Kombination einer Privileged Access Management-Lösung mit der Einhaltung von Sicherheitsbest-Practices kann Ihnen helfen, Privilegienerweiterung und laterale Bewegungen zu blockieren, um Datenverlust, Geschäftsunterbrechungen und Compliance-Strafen zu vermeiden.