O escopo das permissões associadas a um usuário depende do privilégio da sua função. Algumas das funções privilegiadas em uma organização incluem administradores de sistemas, administradores de folha de pagamentos, técnicos de help desk de TI e administradores de rede e banco de dados. Esses funcionários utilizam contas privilegiadas para obter acesso aos seus respectivos endpoints de destino. Como as contas privilegiadas permitem acesso elevado a sistemas críticos, a ativação de permissões refinadas diretamente no nível do usuário ou grupo garante acesso seguro a endpoints privilegiados. No entanto, se essas contas privilegiadas forem expostas a invasores internos ou externos mal-intencionados, isso poderá significar a ruína para a segurança geral da empresa.
A escalação de privilégios pode ser realizada para uma função de qualquer nível de permissão. Há dois métodos para escalar privilégios:
01
A escalação horizontal de privilégios permite que um usuário obtenha permissões de outro com os mesmos privilégios para obter acesso a informações pessoais. No entanto, o desafio é que esta pode ser uma conta de usuário padrão com privilégios básicos e o hacker precisará elevar seus privilégios para realizar ações de nível superior.
Por exemplo, um funcionário que usa as credenciais de outro para acessar informações críticas pretende se passar por usuários com os mesmos privilégios. Apesar de ter permissões de acesso similares, fingir ser um colega de trabalho oferece ao invasor acesso às PIIs desse funcionário. Esse tipo de escalação geralmente é realizado utilizando técnicas de engenharia social.
02
A escalação vertical de privilégios ocorre quando um usuário com permissões não administrativas obtém acesso a permissões administrativas que de outra forma não estariam disponíveis. A escalação vertical de privilégios fornece acesso direto a recursos empresariais críticos sem a necessidade de solicitar altos privilégios de conta.
Por exemplo, um usuário com privilégios padrão que obtém acesso a uma conta de usuário com privilégios relativamente mais altos pode ver e modificar dados confidenciais sobre cada funcionário. Esta é uma ação privilegiada que geralmente não está sob a alçada do usuário padrão.
Contas privilegiadas são as portas de entrada para informações críticas e a segurança inadequada sobre elas afetará a receita e reputação da empresa. Durante um ataque de escalação de privilégios, os hackers inicialmente visam contas de usuários padrão para adquirir privilégios mínimos. No entanto, estas contas não são suficientes quando se trata de realizar atividades que exigem privilégios mais altos. Dessa forma, como um mau agente navega ainda mais pelas áreas sensíveis da organização?
Vamos considerar o exemplo a seguir: Quando um usuário não administrador recebe privilégios temporários para executar ações de alto nível, como adicionar ou excluir usuários, executar comandos privilegiados ou relatórios de clientes, é importante que as permissões de acesso sejam revogadas assim que a tarefa pretendida for concluída. Essas permissões são suscetíveis a ataques de phishing ou engenharia social e, caso um desses ataques for bem-sucedido, um usuário não autorizado poderá obter acesso. Além disso, um número maior de contas privilegiadas aumenta as chances de que uma delas seja alvo de atividades nefastas na rede corporativa.
As contas de domínio dos recursos do Windows hospedam todas as informações críticas e são consideradas “contas de superadministrador”. Quando um invasor tem acesso a uma dessas contas, há um controle direto sobre os níveis de acesso mais elevados. Isso dá margem de manobra para implantar malware no Active Directory e estabelecer controle sobre todos os ativos críticos da empresa.
Por exemplo, sessões ativas em máquinas Windows usam tokens de acesso que fornecem informações sobre a função e privilégios do proprietário. A maioria dos ataques de escalação de privilégios do Windows envolve a exploração desses tokens de acesso para se passar por um usuário conectado e realizar ações de alto nível.
Um invasor que pretenda implementar a escalação de privilégios do Linux tentará primeiramente decodificar as credenciais do usuário raiz, uma vez que ele detém o privilégio mais alto para acessar dados. Alternativamente, os hackers preferem atingir contas com privilégios SUDO (o privilégio mais alto para acessar recursos) para navegar lateralmente na rede corporativa. Realizar esta tarefa torna assumir o controle das informações confidenciais algo muito simples.
Por exemplo, os vetores de ameaças focam inicialmente o shell do Linux para realizar uma escalação de privilégios. Uma vez feito isso, eles utilizam técnicas de enumeração para iniciar operações básicas em sistemas para descobrir caminhos para privilégios SUDO e se passar por um usuário raiz para realizar atividades nefastas.
Contas privilegiadas são a chave do reino. Quando contas privilegiadas são compartilhadas entre vários usuários e não há monitoramento do seu uso, elas correm mais risco de serem utilizadas por um agente mal-intencionado. Esses agentes de ameaças que procuram escalar privilégios tentarão:
Essas backdoors, quando implantadas com sucesso, permitem que hackers contornem os canais de autorização padrão e elevem as permissões tranquilamente.
A mitigação de ataques de escalação de privilégios exige a implantação de ferramentas de gerenciamento de acesso eficientes. Aqui estão algumas melhores práticas de gerenciamento de acesso para evitar a escalação de privilégios:
Apresentar uma postura de segurança forte exige esforço contínuo. Garantir uma superfície de ataque reduzida ajuda as empresas a diminuir ainda mais o risco de violação de dados.
ManageEngine PAM360 ajuda as organizações a combater ataques de escalação de privilégios com controles granulares de acesso com privilégios mínimos, como acesso baseado na função, acesso baseado em políticas, pontuação de confiança dinâmica, elevação de privilégios just-in-time e controle de aplicações e comandos. Os controles Zero Trust completos do PAM360 ajudam as empresas a garantir zero privilégios e proteger suas rotinas de acesso privilegiado contra ameaças emergentes.