如何防止權限提升攻擊？

如果您不專注於身分與存取控制，那麼您終究難免會在某個時刻成為權限提升攻擊的受害者。如今，惡意行為者的運作方式已大不相同。舊有的安全解決方案無法有效對抗他們，而且他們可以輕易繞過傳統的安全措施。制定強大的資料保護策略，並以此為起點向外延伸，是了解如何防止權限提升攻擊的第一步。非人員身分可以承擔服務主體、角色、存取金鑰、函數等。一旦攻擊者完成前期部署，他們就能利用身分、資料和權限。

威脅行為者可能在您的環境中潛伏數天、數週甚至數月，而您甚至不會察覺。他們可能暴露或外洩您的敏感資料，而當他們造成資料外洩時，等到第三方服務供應商通知您時，一切都已經太遲了。

在本指南中，您將了解如何防止權限提升攻擊，並了解如何加以應對。

什麼是權限提升攻擊？

最簡單來說，權限提升攻擊就是對手提升帳戶權限的行為。

當威脅行為者取得授權存取權以及您系統與網路的管理權限時，就會發生這種情況。他們可以利用安全漏洞、修改身分權限，並為自己授予更高的權利與能力。攻擊者可以在您的網路中橫向移動，並大幅變更帳戶、資產及其他資源。

最終，他們會從受限權限發展到近乎完全控制的程度。他們不再只是基本使用者，還能將其帳戶轉變為具有額外權限的進階使用者。成功的權限攻擊可以提升其權限層級並取得更高的控制力。這可能開啟新的攻擊向量、鎖定網路上的所有人，並使攻擊升級，從惡意軟體感染演變為大規模資料外洩與網路入侵。

權限提升攻擊如何運作？

權限提升攻擊可能透過採用低層級身分並濫用權限而發生。攻擊者會在您的環境中橫向移動，並取得額外權限，使其得以造成無法彌補的損害。許多組織忽略了雲端安全基礎，留下他們未察覺的缺口。企業也難以在複雜的雲端環境中掌握其內部使用者、身分與權限的可視性。

權限提升攻擊的運作方式，是試圖接管您的帳戶及現有權限。其範圍可能從僅限本機登入的訪客權限，到管理員權限以及遠端工作階段的 root 權限。權限提升攻擊會使用例如利用使用者憑證、利用系統漏洞、錯誤設定、安裝malware，甚至社交工程等方法。攻擊者進入環境後，會尋找遺漏的安全修補程式，並使用如基本密碼填充與生成式 AI 等技術來找出組織弱點。一旦找到入侵途徑，他們便會滲透其中並長時間進行偵察。

一旦時機成熟，他們就會發動更大規模的攻擊。當未被偵測到時，他們也能清除其活動痕跡。他們採用的一些方式包括根據使用者憑證刪除日誌、遮蔽來源 IP 位址，以及消除任何可能顯示入侵指標存在的證據。

權限提升攻擊中使用的標準方法

權限提升攻擊有不同類型。如下所示：

1. 水平權限提升

這是指攻擊者透過控制另一個帳戶並濫用其原有權限來擴展自己的權限。他們可以接管授予前一位使用者的任何權限，並從那裡繼續推進。當攻擊者能以與其他使用者相同的權限層級取得存取權，但使用不同的使用者身分時，也會發生水平權限提升。使用員工遭竊憑證的攻擊者可被歸類為水平權限提升者。

此類攻擊的目標不是取得 root 權限，而是存取屬於其他使用者、且具有相同或相似權限層級的敏感資料。水平權限提升攻擊會利用相似權限或許可層級中的薄弱安全實務。

2. 垂直權限提升

這是一種更進階的權限提升形式，攻擊者會嘗試從標準使用者帳戶取得存取權，並設法將其升級。他們會將其標準權限提升為更高層級的權限，例如從一般使用者變成超級使用者或管理員。這將使他們能夠對網路和系統進行不受限制的控制。隨著時間推移，他們將取得對系統的完整存取權，並能夠修改組態、安裝軟體、建立新帳戶，以及封鎖或拒絕列入清單中的其他人員。他們甚至可以刪除組織中的資料。

如何偵測權限提升嘗試？

您可以透過以下方式偵測權限提升攻擊：

• 觀察您的員工每天如何彼此互動。如果您懷疑有可疑情況發生，而且他們的態度突然變得負面，這可能是權限提升攻擊正在進行中的跡象。請記住，並非所有權限提升攻擊都相同，因此我們在此討論的是以社交工程為基礎的攻擊。心懷不滿的員工可能利用其授權存取權，在您的整個基礎架構中從事非法活動。
• 檢查是否有異常登入活動，並查看是否有任何檔案或應用程式首次被低權限帳戶存取。如果您的存取權杖遭到操弄，而且您能看到一些跡象，請提高警覺。
• 留意 SID 歷程注入與程序注入攻擊。DC sync 啟動與 shadow 攻擊也表示可能發生權限提升攻擊。
• 任何對僅允許以管理層級權限執行之服務的未授權變更，都是權限提升攻擊的標準指標。
• 其他系統事件，例如應用程式突然當機或系統關機、應用程式故障，或威脅行為者竄改您的核心與作業系統，最終都可能導致權限提升攻擊。

防止權限提升攻擊的最佳實務

以下是您可用來防止權限提升攻擊的最佳實務：

• 防止權限提升攻擊的最佳方法之一，是理解並套用最小權限存取原則。這項網路安全概念可為所有使用者提供受限的存取權限。這表示他們只會取得其工作所需且嚴格必要的權限。
• 最小權限存取原則可確保您的日常營運不受影響或拖慢。它也能保護您的系統資源免受各種威脅。您可以使用存取控制、實施安全政策，並確保您的 IT 團隊可控制哪些應用程式能以本機管理員身分執行，而不授予使用者本機管理員權限。
• 防止權限存取攻擊的第二步，是讓您的軟體保持最新狀態。如果您偵測到任何缺陷，請立即在您的作業系統中修補漏洞。定期執行漏洞掃描，並在駭客利用之前識別可被利用之處。
• 監控您的系統活動，以確保惡意行為者沒有潛伏在您的網路中。如果您在安全命令期間偵測到任何可疑異常或行為，那就是明確的警訊。
• Ring-fencing 是組織廣泛使用的一種技術，用來限制應用程式可執行的操作，不論是與其他應用程式、檔案、資料或使用者互動。它是一道屏障，可防止應用程式跨出組織邊界。
• 此外，請教育您的員工了解安全意識的重要性。確保他們能辨識社交工程惡意軟體與網路釣魚的跡象。意識培養是防止權限提升攻擊的最佳策略之一。它在對抗駭客方面效果最佳。
• 透過建立零信任網路安全架構，將零信任方法套用於網路安全。不要信任任何人。始終驗證。
• 使用 AI 威脅偵測技術在背景執行掃描，尤其是在無人注意時。如果人員遺漏任何安全缺陷，自動化工具將會將其找出。

權限提升攻擊的真實世界案例

在近期的一起權限提升攻擊中，攻擊者使用了由 Microsoft 簽署的驅動程式。威脅行為者利用了 Paragon partition manager 中的一個缺陷，發動自帶易受攻擊驅動程式（bring-your-own-vulnerable-driver）攻擊。此零時差漏洞涉及一起勒索軟體攻擊，使攻擊者能夠入侵系統並規避偵測。CVE-2025-0289 是一個不安全的核心資源存取漏洞，被用於提升權限。

它對目標裝置執行了阻斷服務攻擊。CERT Coordination Center 警告，此漏洞可被用於 Windows 裝置，即使未安裝 Paragon partition manager 亦然。

該勒索軟體變種並未公開，而 Microsoft 也無法對該活動或進一步的利用發表評論。他們拒絕提供任何答案。勒索軟體集團利用易受攻擊的驅動程式並繞過端點偵測與回應機制，是很常見的做法。

Kubernetes 權限攻擊是另一種跨叢集發生的權限提升攻擊。它們以容器為目標，並在攻擊鏈中濫用系統連接埠。

一旦對手取得更高層級的權限，他們就能利用漏洞、錯誤設定，以及濫用過度寬鬆的角色型存取控制政策。他們可能中斷關鍵服務、部署惡意工作負載，並取得整個 Kubernetes 叢集的完全控制權。

結論

防止權限提升攻擊，首先要採取必要的安全措施來強制執行嚴格的存取控制，並定期進行安全稽核。如果您不了解組織內正在發生的情況，就很難準確判斷橫向移動何時發生。請導入最佳的安全意識與訓練計畫，並確保員工參與。

不要忽視基本功，因為這正是學習如何防止權限提升攻擊的關鍵。此外，也可諮詢像 SentinelOne 這樣的安全專家以獲得額外協助。