Privilege-escalatieaanvallen, preventietechnieken en -tools

Privilege-escalatieaanvallen treden op wanneer kwaadwillenden misbruik maken van verkeerde configuraties, bugs, zwakke wachtwoorden en andere kwetsbaarheden waardoor ze toegang krijgen tot beschermde bedrijfsmiddelen.

Bij een typische aanval krijgt de aanvaller eerst toegang tot een account met lage rechten. Eenmaal ingelogd bestuderen aanvallers het systeem om andere kwetsbaarheden te identificeren die ze verder kunnen uitbuiten. Vervolgens gebruiken ze de privileges om zich voor te doen als de echte gebruikers, toegang te krijgen tot doelbronnen en ongemerkt verschillende taken uit te voeren.

Privilege-escalatieaanvallen zijn verticaal van horizontaal.

Bij het verticale type krijgt de aanvaller toegang tot een account en voert vervolgens uit als die gebruiker. Bij het horizontale type krijgt de aanvaller eerst toegang tot een of meer accounts met beperkte rechten, en compromitteert hij vervolgens het systeem om meer rechten te krijgen om administratieve rollen uit te voeren.

Met dergelijke machtigingen kunnen de aanvallers administratieve taken uitvoeren, malware implementeren of andere ongewenste activiteiten uitvoeren. Ze kunnen bijvoorbeeld activiteiten verstoren, beveiligingsinstellingen wijzigen, gegevens stelen of de systemen zodanig compromitteren dat ze achterdeurtjes openlaten die ze in de toekomst kunnen misbruiken.

Over het algemeen maakt privilege-escalatie, net als cyberaanvallen, misbruik van kwetsbaarheden in systemen en processen in netwerken, diensten en toepassingen. Daarom is het mogelijk om ze te voorkomen door een combinatie van goede beveiligingspraktijken en -tools in te zetten. Een organisatie zou idealiter oplossingen moeten inzetten die een breed scala aan potentiële en bestaande beveiligingskwetsbaarheden en -bedreigingen kunnen scannen, detecteren en voorkomen.

Beste praktijken om aanvallen door privilege-escalatie te voorkomen

Organisaties moeten al hun kritieke systemen en gegevens beschermen, evenals andere gebieden die aantrekkelijk kunnen lijken voor aanvallers. Het enige wat een aanvaller nodig heeft, is een systeem binnendringen. Eenmaal binnen, kunnen ze op zoek gaan naar kwetsbaarheden die ze verder uitbuiten om extra rechten te krijgen. Naast het beschermen van de bedrijfsmiddelen tegen externe bedreigingen, is het net zo belangrijk om voldoende maatregelen te nemen om interne aanvallen te voorkomen.

Hoewel de daadwerkelijke maatregelen kunnen verschillen afhankelijk van de systemen, netwerken, omgeving en andere factoren, volgen hieronder enkele technieken die organisaties kunnen gebruiken om hun infrastructuur te beveiligen.

Bescherm en scan uw netwerk, systemen en toepassingen

Naast het inzetten van een realtime beveiligingsoplossing is het essentieel om alle onderdelen van de IT-infrastructuur te scannen op kwetsbaarheden waardoor nieuwe bedreigingen kunnen binnendringen. Hiervoor kunt u een effectieve kwetsbaarhedenscanner gebruiken om niet-gepatchte en onveilige besturingssystemen en toepassingen, verkeerde configuraties, zwakke wachtwoorden en andere gebreken te vinden die aanvallers kunnen uitbuiten.

Hoewel u verschillende kwetsbaarhedenscanners kunt gebruiken om zwakke plekken in verouderde software op te sporen, is het meestal moeilijk of niet praktisch om alle systemen bij te werken of te patchen. Dit is vooral een uitdaging wanneer u te maken heeft met verouderde componenten of grootschalige productiesystemen.

In dergelijke gevallen kunt u extra beveiligingslagen inzetten zoals webtoepassingsfirewalls (WAF) die kwaadaardig verkeer op netwerkniveau detecteren en tegenhouden. Doorgaans zal de WAF het onderliggende systeem beschermenzelfs als het niet gepatcht of verouderd is.

Goed beheer van bevoorrechte rekeningen

Het is belangrijk om de geprivilegieerde accounts te beheren en ervoor te zorgen dat ze allemaal veilig zijn, volgens de best practices worden gebruikt en niet worden blootgesteld. De beveiligingsteams moeten een inventaris hebben van alle accounts, waar ze bestaan en waar ze voor gebruikt worden.

Andere maatregelen zijn

• Het aantal en de reikwijdte van de geprivilegieerde accounts tot een minimum beperken, monitoren en een logboek bijhouden van hun activiteiten.
• Analyseren van elke geprivilegieerde gebruiker of account om risico's, potentiële bedreigingen, bronnen en intenties van aanvallers te identificeren en aan te pakken
• Belangrijke aanvalsmodi en preventiemaatregelen
• Het principe van de minste privileges volgen
• Voorkom dat beheerders accounts en referenties delen.

Gebruikersgedrag bewaken

Het analyseren van gebruikersgedrag kan ontdekken of er gecompromitteerde identiteiten zijn. Meestal richten aanvallers zich op de gebruikersidentiteiten die toegang geven tot de systemen van de organisatie. Als het ze lukt om de referenties te bemachtigen, loggen ze in op het netwerk en kunnen ze enige tijd onopgemerkt blijven.

Aangezien het moeilijk is om het gedrag van elke gebruiker handmatig te controleren, is de beste aanpak om een UEBA-oplossing (User and Entity Behavior Analytics) in te zetten. Zo'n tool controleert continu de gebruikersactiviteit in de loop van de tijd. Vervolgens creëert het een basislijn van legitiem gedrag die het gebruikt om ongebruikelijke activiteiten te ontdekken die op een compromittering wijzen.

Het resulterende profiel bevat informatie zoals locatie, bronnen, gegevensbestanden en diensten waartoe de gebruiker toegang heeft en hoe vaak, de specifieke interne en externe netwerken, het aantal hosts en de uitgevoerde processen. Met deze informatie kan de tool verdachte acties of parameters identificeren die afwijken van de basislijn.

Sterk wachtwoordbeleid en handhaving

Stel sterke beleidsregels op en dwing deze af om ervoor te zorgen dat de gebruikers unieke en moeilijk te raden wachtwoorden hebben. Daarnaast voegt het gebruik van multifactorauthenticatie een extra beveiligingslaag toe en ondervangt het de kwetsbaarheden die kunnen ontstaan als het moeilijk is om handmatig een sterk wachtwoordbeleid af te dwingen.

Beveiligingsteams moeten ook de nodige tools inzetten, zoals wachtwoordauditors, beleidshandhavers en andere tools die systemen kunnen scannen, zwakke wachtwoorden kunnen identificeren en markeren, of om actie kunnen vragen. De handhavingstools zorgen ervoor dat gebruikers sterke wachtwoorden hebben wat betreft lengte, complexiteit en bedrijfsbeleid.

Organisaties kunnen ook hulpmiddelen voor het beheer van ondernemingswachtwoorden gebruiken om gebruikers te helpen bij het aanmaken en gebruiken van complexe en veilige wachtwoorden die voldoen aan het beleid voor diensten die verificatie vereisen.

Extra maatregelen zoals multifactor-authenticatie om de wachtwoordmanager te ontgrendelen verbeteren de beveiliging nog verder, waardoor het voor aanvallers bijna onmogelijk wordt om toegang te krijgen tot de opgeslagen referenties. Typische ondernemingswachtwoordmanagers zijn Keeper, Dashlane, 1Wachtwoord.

Gebruikersinvoer zuiveren en databases beveiligen

Aanvallers kunnen kwetsbare invoervelden van gebruikers en databases gebruiken om kwaadaardige code te injecteren, toegang te krijgen en de systemen te compromitteren. Daarom moeten beveiligingsteams best practices gebruiken, zoals sterke authenticatie en effectieve tools om de databases en alle soorten gegevensinvoervelden te beschermen.

Een goede praktijk is om alle gegevens onderweg en in rust te versleutelen, naast het patchen van de databases en het opschonen van alle gebruikersinvoer. Extra maatregelen zijn onder andere bestanden alleen-lezen laten en schrijftoegang geven aan de groepen en gebruikers die dat nodig hebben.

Gebruikers trainen

De gebruikers zijn de zwakste schakel in de beveiligingsketen van een organisatie. Daarom is het belangrijk om hen te leren hoe ze hun taken veilig kunnen uitvoeren. Anders kan één enkele klik van een gebruiker leiden tot het in gevaar brengen van een heel netwerk of systeem. Enkele van de risico's zijn het openen van kwaadaardige koppelingen of bijlagen, het bezoeken van gecompromitteerde websites, het gebruik van zwakke wachtwoorden en nog veel meer.

Idealiter zou de organisatie regelmatig bewustmakingsprogramma's over beveiliging moeten hebben. Bovendien moet er een methode zijn om te controleren of de training effectief is.

Privilege-escalatie-aanvallen voorkomen

Voor het voorkomen van aanvallen door middel van privilege-escalatie is een combinatie van hulpmiddelen nodig. Deze omvatten, maar zijn niet beperkt tot, de onderstaande oplossingen.

Softwareoplossingen voor Privileged Access Management (PAM)

Heimdal

Beheer van geprivilegieerde toegang (PAM)van Heimdal is een beveiligingsoplossing op bedrijfsniveau die is ontworpen om organisaties te helpen hun meest kritieke bedrijfsmiddelen en gegevens te beveiligen door de toegang met privileges tot gevoelige systemen en toepassingen te controleren. Het product biedt een uitgebreide set hulpmiddelen voor het beheren, bewaken en auditen van bevoorrechte toegang, terwijl de principes van de minste privileges worden afgedwongen en het aanvalsoppervlak wordt verkleind.

Met de PAM-oplossing van Heimdal kunnen organisaties eenvoudig bevoorrechte accounts in hun IT-infrastructuur identificeren en beheren, inclusief on-premises en cloudomgevingen, door gebruik te maken van een gecentraliseerd dashboard. Het biedt granulaire controle over toegangsrechten en machtigingen, zodat beheerders beleidsregels kunnen definiëren en multi-factor authenticatie, sessieregistratie en wachtwoordbeheer kunnen afdwingen om veilige toegang tot kritieke systemen en gegevens te garanderen.

Het bevat ook verschillende geavanceerde functies, zoals sessiebewaking en -registratie, die realtime inzicht bieden in activiteiten van bevoorrechte gebruikers, zodat verdacht gedrag kan worden opgespoord en hierop kan worden gereageerd. Daarnaast biedt het geautomatiseerde workflows om de processen voor het aanvragen en goedkeuren van toegang te stroomlijnen, zodat IT-teams minder worden belast en de naleving van de voorschriften en normen in de sector wordt gewaarborgd.

De rapportage- en analysemogelijkheden van de oplossing bieden inzicht in gebruikersgedrag, audit trails en nalevingsstatus, zodat organisaties proactief risico's en kwetsbaarheden kunnen identificeren en beperken.

De PAM-oplossing van Heimdal integreert ook met bestaande IT-systemen en -toepassingen, waardoor een naadloos toegangsbeheer in de hele organisatie mogelijk is. Over het geheel genomen biedt de PAM-oplossing van Heimdal een uitgebreide en gebruiksvriendelijke oplossing voor het beheren van bevoorrechte toegang, het verminderen van het risico op gegevensschendingen en het waarborgen van naleving van industriële normen en voorschriften. Dankzij de geavanceerde functies en integratiemogelijkheden biedt de oplossing een robuuste verdediging tegen cyberbedreigingen en helpt organisaties een sterke beveiligingspositie te bereiken.

JumpCloud

Jumpcloud is een Directory as a Service (DaaS) oplossing die gebruikers veilig verifieert en verbindt met netwerken, systemen, diensten, apps en bestanden. Over het algemeen is de schaalbare, cloudgebaseerde directory een service die gebruikers, applicaties en apparaten beheert, verifieert en autoriseert.

De functies omvatten;

• Het creëert een veilige en gecentraliseerde gezaghebbende directory
• Ondersteunt platformoverschrijdend beheer van gebruikerstoegang
• Biedt eenmalige aanmeldingsfuncties die het beheren van gebruikerstoegang tot toepassingen via LDAP, SCIM en SAML 2.0 ondersteunen
• Biedt veilige toegang tot servers op locatie en in de cloud
• Ondersteunt multi-factor authenticatie
• Heeft geautomatiseerd beheer van beveiliging en gerelateerde functies zoals event logging, scripting, API-beheer, PowerShell en meer

Ping Identiteit

Ping identiteit is een intelligent platform dat meerfactorauthenticatie, single sign-on, directoryservices en meer biedt. Het stelt organisaties in staat om de identiteitsbeveiliging en -ervaring van gebruikers te verbeteren.

Kenmerken

• Eenmalige aanmelding voor veilige en betrouwbare verificatie en toegang tot diensten
• Multi-factor authenticatie die extra beveiligingslagen toevoegt
• Verbeterde gegevensgovernance en de mogelijkheid om aan privacyregels te voldoen
• Een directoryservice voor veilig beheer van gebruikersidentiteiten en -gegevens op schaal
• Flexibele cloudimplementatieopties zoals Identity-as-a-Service (IDaaS), gecontaineriseerde software, enz.

Foxpass

Foxpass is een schaalbare identiteits- en toegangscontroleoplossing op bedrijfsniveau voor on-premise en cloudimplementaties. Het biedt RADIUS-, LDAP- en SSH-sleutelbeheerfuncties die ervoor zorgen dat elke gebruiker alleen toegang krijgt tot specifieke netwerken, servers, VPN's en andere diensten op het toegestane tijdstip.

De tool kan naadloos integreren met andere diensten zoals Office 365, Google Apps en meer.

AWS Geheimen Manager

AWS Geheimen Manager biedt u een betrouwbare en effectieve manier om de geheimen te beveiligen die nodig zijn om toegang te krijgen tot de service, applicaties en andere bronnen. Hiermee kunt u de API-sleutels, databasegegevens en andere geheimen eenvoudig beheren, roteren en opvragen.

Er zijn meer oplossingen voor geheimbeheer die u kunt onderzoeken.

UEBA-oplossing (User and Entity Behavior Analytics)

Exabeam

Het Exabeam beveiligingsbeheerplatform is een snel en eenvoudig te implementeren AI-gebaseerde gedragsanalyseoplossing die helpt bij het volgen van gebruikers- en accountactiviteiten in verschillende diensten. U kunt Exabeam ook gebruiken om de logbestanden van andere IT-systemen en beveiligingstools op te nemen, deze te analyseren en risicovolle activiteiten, bedreigingen en andere problemen te identificeren en te markeren.

De functies omvatten

• Loggen en verstrekken van nuttige informatie voor onderzoeken naar incidenten. Hieronder vallen alle sessies wanneer een bepaald account of gebruiker voor het eerst toegang kreeg tot een service, server of applicatie, of bron, accountlogs vanuit een nieuwe VPN-verbinding, vanuit een ongebruikelijk land, enz.
• De schaalbare oplossing is toepasbaar voor een enkele instantie, cloud en on-premise implementaties
• Creëert een uitgebreide tijdlijn die duidelijk het volledige pad van een aanvaller laat zien op basis van normaal en abnormaal account- of gebruikersgedrag.

Cynet 360

Het Cynet 360-platform is een uitgebreide oplossing die gedragsanalyse, netwerk- en eindpuntbeveiliging biedt. U kunt gebruikersprofielen aanmaken, inclusief hun geolocaties, rollen, werktijden, toegangspatronen tot on-premise en cloudgebaseerde bronnen, enz.

Het platform helpt bij het identificeren van ongewone activiteiten zoals;

• Voor het eerst inloggen op het systeem of bronnen
• Ongebruikelijke aanmeldlocatie of het gebruik van een nieuwe VPN-verbinding
• Meerdere gelijktijdige verbindingen naar verschillende bronnen binnen een zeer korte tijd
• Rekeningen die buiten kantooruren toegang hebben tot bronnen

Hulpmiddelen voor wachtwoordbeveiliging

Wachtwoordcontrole

De wachtwoordcontroleur tools scannen de hostnamen en IP-adressen om automatisch zwakke referenties te identificeren voor netwerkservices en webtoepassingen zoals HTTP-webformulieren, MYSQL, FTP, SSH, RDP, netwerkrouters en andere die verificatie vereisen. Vervolgens wordt geprobeerd om in te loggen met de zwakke en veelvoorkomende combinaties van gebruikersnaam en wachtwoord om accounts met zwakke referenties te identificeren en waarschuwen.

Wachtwoordmanager Pro

De ManageEngine wachtwoordbeheerder pro biedt u een uitgebreide oplossing voor beheer, controle, bewaking en auditing van de geprivilegieerde account gedurende de gehele levenscyclus. Het kan de bevoorrechte account, SSL-certificaat, externe toegang en de bevoorrechte sessie beheren.

De functies omvatten

• Automatiseert en dwingt regelmatige wachtwoordresets af voor kritieke systemen zoals servers, netwerkcomponenten, databases en andere bronnen
• Bewaart en organiseert alle identiteiten en wachtwoorden van bevoorrechte en gevoelige accounts in een gecentraliseerde en veilige kluis.
• Stelt organisaties in staat om te voldoen aan kritieke beveiligingsaudits en aan regelgevende normen zoals HIPAA, PCI, SOX en meer
• Stelt teamleden in staat om veilige administratieve wachtwoorden te delen.

Kwetsbaarheidsscanners

Invicti

Invicti is een schaalbare, geautomatiseerde oplossing voor het scannen en beheren van kwetsbaarheden die aan de eisen van elke organisatie kunnen voldoen. De tool kan complexe netwerken en omgevingen scannen terwijl het naadloos integreert met andere systemen, waaronder de CI/CD-oplossingen, SDLC en andere. Het heeft geavanceerde mogelijkheden en is geoptimaliseerd om kwetsbaarheden in complexe omgevingen en toepassingen te scannen en te identificeren.

Bovendien kunt u Invicti gebruiken om webservers te testen op beveiligingsfouten die aanvallers kunnen misbruiken. Over het algemeen identificeert de tool SQL-injecties, bestandsinsluiting op afstand, Cross-site Scripting (XSS) en andere kwetsbaarheden uit de OWASP Top-10 in webtoepassingen, webservices, webpagina's, API's en meer.

Acunetix

Acunetix is een allesomvattende oplossing met ingebouwde scanning op kwetsbaarheden, beheer en eenvoudige integratie met andere beveiligingstools. Het helpt bij het automatiseren van taken op het gebied van kwetsbaarhedenbeheer, zoals scannen en verhelpen, waardoor u resources kunt besparen.

De functies omvatten;

• Kan worden geïntegreerd met andere tools zoals Jenkins, probleemtrackers van derden zoals GitHub, Jira, Mantis en meer.
• Opties voor implementatie op locatie en in de cloud
• Aanpasbaar aan de omgeving en vereisten van de klant, evenals cross-platform ondersteuning.
• Snel identificeren van en reageren op een scala aan beveiligingsproblemen, waaronder veelvoorkomende webaanvallen, Cross-site Scripting (XSS), SQL-injecties, malware, verkeerde configuraties, blootgestelde bedrijfsmiddelen, enz.

Conclusie

Netto als cyberaanvallen maakt privilege-escalatie misbruik van kwetsbaarheden in het systeem en de processen van netwerken, diensten en toepassingen. Daarom is het mogelijk om ze te voorkomen door de juiste beveiligingshulpmiddelen en -praktijken in te zetten.

Effectieve maatregelen zijn onder andere het afdwingen van zo min mogelijk privileges, sterke wachtwoorden en een verificatiebeleid, het beschermen van gevoelige gegevens, het verkleinen van het aanvalsoppervlak, het beveiligen van de accountgegevens en nog veel meer. Andere maatregelen zijn het up-to-date houden en patchen van alle systemen, software en firmware, het monitoren van gebruikersgedrag en het trainen van gebruikers in veilige computerpraktijken.