كيف يعمل تصعيد الامتيازات و6 طرق لمنع حدوثه

ما هو تصعيد الامتيازات؟

تصعيد الامتيازات هو استغلال أمني أو تقنية يستخدمها المهاجمون - بدءًا من بيانات اعتماد مخترقة أو مسروقة - للحصول على وصول غير مصرح به إلى صلاحيات أعلى أو امتيازات نظام داخل نظام كمبيوتر أو شبكة أو تطبيق.

عادةً ما يتم تحقيق ذلك من خلال استغلال الثغرات، أو الأخطاء في التهيئة، أو الأخطاء البشرية، أو العيوب في تصميم أمان النظام، مما يسمح للمهاجم بالتحكم، والوصول إلى بيانات حساسة، أو تنفيذ إجراءات غير مصرح بها.

يمكن أن يحدث تصعيد الامتيازات بشكل عمودي (الانتقال من مستوى امتيازات أدنى إلى مستوى أعلى) وأيضًا بشكل أفقي (الحصول على الوصول إلى موارد أو قدرات على نفس مستوى الامتيازات التي لم تُمنح في البداية).

القراءة الموصى بها:تحليلات البيانات الكبيرة للأمن: الماضي والحاضر والمستقبل.

لماذا من المهم منع تصعيد الامتيازات؟

عادةً ما يتم تنفيذ تصعيد الامتيازات بواسطة خصم يستخدم هوية مخترقة (بيانات اعتماد). هذه الأنواع من الهجمات صعبة للغاية في الاكتشاف وغالبًا ما تتجاوز التوقيعات والقواعد الشائعة. يمكن أن يكون تأثير تصعيد الامتيازات الناجح مدمرًا، مما يزيد من سوء الوضع بسبب عدم فعالية طرق الكشف التقليدية.

منع تصعيد الامتيازات أمر بالغ الأهمية لعدة أسباب:

• حماية البيانات الحساسة: يمكن أن يؤدي تصعيد الامتيازات إلى الوصول غير المصرح به إلى المعلومات السرية، مثل البيانات الشخصية أو المالية أو التجارية، والتي يمكن استغلالها أو تسريبها من قبل جهات خبيثة.
• الحفاظ على سلامة النظام: عندما يحصل المهاجم على صلاحيات أعلى، يمكنه التلاعب أو تعديل أو حذف الملفات الحيوية للنظام أو التكوينات أو التطبيقات، مما قد يتسبب في عدم استقرار النظام أو خلل.
• منع الإجراءات غير المصرح بها: من خلال منع تصعيد الامتيازات، يمكنك الحد من قدرة المهاجمين على القيام بأعمال غير مصرح بها، مثل إنشاء حسابات مستخدم جديدة، تثبيت البرمجيات الضارة، أو تغيير إعدادات الأمان.
• الامتثال والآثار القانونية: يجب على المنظمات الالتزام بمختلف اللوائح والمعايير الصناعية التي تتطلب اتخاذ تدابير أمنية مناسبة، بما في ذلك الحماية ضد تصعيد الامتيازات. يمكن أن يؤدي الفشل في القيام بذلك إلى عقوبات وإجراءات قانونية وأضرار بالسمعة.
• الحفاظ على استمرارية العمليات: يمكن أن disrupt هجوم تصعيد الامتيازات الناجح العمليات التجارية، مما يؤدي إلى توقف العمل، وفقدان الإنتاجية، واحتمال فقدان الإيرادات. يساعد منع مثل هذه الهجمات في الحفاظ على استمرارية العمليات وحماية العمليات التجارية.

تقنيات هجوم تصعيد الامتيازات

يمكن تصنيف هجمات تصعيد الامتيازات إلى تقنيتين رئيسيتين: العمودية (أو الارتفاع) والأفقية. تهدف كل تقنية إلى الحصول على وصول غير مصرح به، لكنها تختلف في النطاق ومستوى الامتيازات المستهدفة.

تصعيد الامتيازات العمودي (رفع الامتيازات)

في هجمات تصعيد الامتيازات العمودية، يحاول المهاجم رفع حقوق الوصول الخاصة به من مستوى أدنى إلى مستوى أعلى، مثل الانتقال من حساب مستخدم عادي إلى حساب مسؤول أو حساب على مستوى النظام.

هذا النوع من الهجمات يسمح للمهاجم بالحصول على تحكم أكبر في النظام، والوصول إلى موارد مقيدة، وتنفيذ إجراءات لم تكن ممكنة بمستوى الوصول الأولي. تشمل التقنيات الشائعة لتصعيد الامتيازات الرأسية ما يلي:

• استغلال ثغرات البرمجيات: قد يستغل المهاجمون البرمجيات غير المحدثة أو ثغرات نظام التشغيل لرفع صلاحياتهم.
• سوء التكوين: يمكن أن توفر الأنظمة والخدمات أو أذونات الملفات المكونة بشكل سيئ فرصًا للمهاجمين لرفع صلاحياتهم.
• الهندسة الاجتماعية: قد يخدع المهاجمون المستخدمين لتقديم بيانات اعتمادهم المميزة أو القيام بأفعال تؤدي إلى تصعيد في الامتيازات.

تصعيد الامتيازات الأفقي

في هجمات تصعيد الامتياز الأفقي، يسعى المهاجم إلى الوصول إلى موارد أو قدرات بنفس مستوى الامتياز مثل حسابه الحالي، ولكن لم يتم منحها له في البداية.

الهدف هو الوصول إلى بيانات أو موارد أو وظائف مقيدة لمستخدم آخر دون رفع مستوى صلاحيات المهاجم. تشمل التقنيات الشائعة لتصعيد الصلاحيات الأفقية ما يلي:

• هجمات كلمات المرور: قد يستخدم المهاجمون تقنيات مثل تخمين كلمة المرور، والهجمات بالقوة الغاشمة، أو تسجيل ضغطات المفاتيح للحصول على وصول غير مصرح به إلى حساب مستخدم آخر بنفس مستوى الامتياز.
• اختراق الجلسات: يمكن للمهاجمين اعتراض أو تعديل أو السيطرة على جلسة مستخدم موجود للوصول إلى موارده.
• استغلال ثغرات التطبيقات: يمكن استغلال العيوب في منطق التطبيق أو المصادقة أو آليات التحكم في الوصول من قبل المهاجمين للوصول إلى الموارد أو الوظائف التي يجب أن تكون مقيدة على مستخدمين آخرين.
• تجاوز التجزئة: يقوم المهاجمون بالتقاط تجزئة كلمة المرور وتمريرها من أجل المصادقة والوصول الجانبي إلى أنظمة أخرى متصلة بالشبكة.
• هجمات تذاكر الفضة والذهب: تتيح هجمات تذاكر الذهب السيطرة الكاملة على الدليل النشط (AD). بدلاً من ذلك، باستخدام تذكرة فضية، يمكن للمهاجم إنشاء تذاكر متعددة لخدمة معينة (TGS) دون التواصل مع وحدة التحكم في المجال (DC) على الشبكة.

كيف تعمل هجمات تصعيد الامتيازات

هجمات تصعيد الامتيازات، سواء كانت أفقية أو عمودية، تعتمد عادةً على استغلال ثغرة تتعلق بإدارة الامتيازات، مثل عيوب النظام، أو التهيئات الخاطئة، أو ضوابط الوصول غير الكافية القابلة للاستغلال في كيربيروس، وغيرها.

تمتلك جميع الحسابات التي تتفاعل مع نظام معين مستوى معين من الامتيازات، سواء كان حامل الحساب على علم بها أم لا. عادةً ما يكون وصول المستخدمين العاديين محدودًا إلى قواعد بيانات النظام، والملفات الحساسة، أو مصادر المعلومات القيمة الأخرى. لهذا السبب قد لا يكونون حتى واعين بحدود امتيازاتهم - على عكس الفاعلين الخبيثين، ليس لديهم حاجة للوصول إلى معلومات تتجاوز نطاقهم المحدد.

لفهم تصعيد الامتيازات بشكل أفضل، من المهم التعرف على خمس تقنيات رئيسية يستخدمها المهاجمون للحصول على مستويات أعلى من الحقوق أو الوصول: استغلال بيانات الاعتماد (مثل الاستفادة من كلمات المرور الضعيفة)، ثغرات النظام واستغلالها، التهيئات الخاطئة، البرمجيات الخبيثة، والهندسة الاجتماعية.

من خلال استخدام واحدة أو أكثر من هذه الطرق، يمكن للمهاجمين الخبيثين التسلل إلى نظام ما. بعد الحصول على الوصول، سيقومون بمراقبة البيئة، في انتظار اللحظة المناسبة لبدء خطوتهم التالية - تصعيد الامتيازات إلى حسابات ذات سلطة أكبر من الحساب الذي تم اختراقه في البداية. اعتمادًا على أهدافهم، قد يستمر المهاجمون في زيادة امتيازاتهم للسيطرة على حساب مسؤول أو حساب الجذر أو الحفاظ على الحركة الأفقية حتى يهيمنوا في النهاية على البيئة بأكملها.

نصائح من الخبير

ستيف مور هو نائب الرئيس ورئيس استراتيجيات الأمن في إكزبيم، يساعد في تقديم الحلول لاكتشاف التهديدات وتقديم المشورة للعملاء بشأن برامج الأمن والاستجابة للاختراقات. وهو مضيف بودكاست "The New CISO Podcast"، و عضو في Forbes Tech Council، ومؤسس مشارك لـ TEN18 at Exabeam.

من خلال تجربتي، إليك بعض النصائح التي يمكن أن تساعدك في منع تصعيد الامتيازات بشكل أفضل:

استفد من التقسيم الدقيق
قم بتقسيم شبكتك إلى مناطق صغيرة لعزل الأحمال وتطبيق ضوابط أمان دقيقة، مما يحد من قدرة المهاجمين على تصعيد الامتيازات عبر الشبكة.

فرض عزل التطبيقات
حدد نطاق تصعيد الامتيازات المحتمل عن طريق تشغيل التطبيقات في صناديق معزولة. هذا يمنع المهاجمين من استغلال تطبيق مخترق للتأثير على أجزاء أخرى من النظام.

استخدم بنية تحتية غير قابلة للتغيير
تطبيق بنية تحتية غير قابلة للتغيير (حيث لا يتم تعديل البنية التحتية بعد النشر) يقلل من خطر تصعيد الامتيازات من خلال ضمان أن أي تغييرات غير مصرح بها لن تستمر بين عمليات النشر.

دمج إدارة الوصول المميز (PAM) مع تحليلات سلوك المستخدم والكيان (UEBA)
أدوات إدارة الوصول المميز (PAM) ضرورية، ولكن دمجها مع تحليلات سلوك المستخدم والكيان (UEBA) يوفر كشفًا في الوقت الحقيقي عن السلوكيات غير العادية المرتبطة بالحسابات المميزة، مما يعزز من كشف التهديدات.

المصادقة المعتمدة على الرموز للدفاع ضد الحركة الجانبية
استخدم أنظمة تعتمد على الرموز، مثل OAuth أو تذاكر Kerberos، للحد من الحركة الجانبية داخل الشبكة. إن اختراق رمز واحد لا يوفر للمهاجمين وصولاً شاملاً للنظام، مما يقلل من خطر التصعيد.

6 طرق لمنع هجمات تصعيد الامتيازات

يتطلب منع هجمات تصعيد الامتيازات نهجًا متعدد الأبعاد يشمل ممارسات أمنية وأدوات وتدابير متنوعة. إليك أفضل الممارسات التي يجب أخذها بعين الاعتبار:

1. إدارة الحسابات المميزة بعناية.

إليك عدة طرق لإدارة الوصول بشكل مناسب ومنع تصعيد الامتيازات:

• تحديد عدد الحسابات المميزة: قلل عدد الحسابات المميزة إلى الحد الأدنى الضروري، وامنح الأذونات المرتفعة فقط للمستخدمين الذين يحتاجون إليها.
• مبدأ أقل امتياز: قم بتعيين الحد الأدنى من مستوى الوصول والأذونات المطلوبة للمستخدمين لأداء مهامهم.
• مراجعة وتدقيق منتظم: قم بمراجعة وتدقيق صلاحيات الحسابات المميزة بشكل دوري للتأكد من أن المستخدمين المصرح لهم فقط هم من لديهم وصول مرتفع.
• المراقبة والتسجيل: تنفيذ المراقبة وتسجيل أنشطة الحسابات المميزة للكشف عن الأفعال المشبوهة وسوء الاستخدام المحتمل.
• استخدام بيانات اعتماد مؤقتة: تنفيذ استخدام بيانات اعتماد مؤقتة أو محدودة الوقت للحسابات المميزة، والتي تنتهي صلاحيتها بعد فترة معينة.

2. تصحيح وتحديث البرمجيات

إن تحديث البرمجيات وأنظمة التشغيل والبرامج الثابتة بانتظام أمر ضروري لمعالجة الثغرات المعروفة وتقليل خطر هجمات تصعيد الامتيازات. قم بتطوير عملية إدارة التحديثات التي تشمل:

• مراقبة التحديثات: تابع تصحيحات الأمان والتحديثات التي تصدرها شركات البرمجيات. استخدم أدوات أو عمليات آلية كلما كان ذلك ممكنًا.
• إعطاء الأولوية للتحديثات: قم بإعطاء الأولوية للتحديثات بناءً على شدة الثغرات والتأثير المحتمل على أنظمتك.
• الاختبار والنشر: اختبر التصحيحات في بيئة محكومة قبل نشرها في أنظمة الإنتاج لتجنب مشاكل التوافق المحتملة أو الانقطاعات.
• تحليل تكوين البرمجيات واختبار أمان التطبيقات الثابتة: لا تنسَ تحليل تكوين البرمجيات واختبار أمان التطبيقات الثابتة. إذا كنت تستخدم أدوات ويب من طرف ثالث، تأكد من أن مكتباتك محدثة مع فريق التطوير.
• تذاكر التغيير: أبلغ فريق عمليات الأمن لديك عندما تقوم بإجراء تغييرات محددة قد تؤثر على وظائفهم أو رؤيتهم عبر المؤسسة.

3. قم بإجراء مسح للثغرات

يساعد الفحص المنتظم للثغرات في تحديد نقاط الضعف المحتملة، والتكوينات الخاطئة، والثغرات في أنظمتك التي يمكن استغلالها في هجوم تصعيد الامتيازات. نفذ برنامج إدارة الثغرات الذي يتضمن:

• الفحص المنتظم: جدولة فحوصات الثغرات لتعمل بانتظام على أنظمتك وشبكاتك. وهذا يشمل، كما هو مذكور أعلاه، اختبار أمان التطبيقات بانتظام للثغرات والاستغلالات المعروفة في أدوات المطورين (مثل JexBoss، Apache Struts).
• الإصلاح: إنشاء عملية لتحديد أولويات ومعالجة الثغرات المكتشفة، بناءً على شدتها وتأثيرها المحتمل. يمكن أن يتضمن ذلك أيضًا الترقية من LDAP إلى LDAPS، ومن NTLM إلى Kerberos حيثما كان ذلك ممكنًا.
• التحقق: تحقق من أنه قد تم معالجة الثغرات بنجاح وأنه لم يتم إدخال ثغرات جديدة خلال العملية.

4. مراقبة حركة الشبكة وسلوكها

يمكن أن تساعد مراقبة حركة الشبكة وسلوك المستخدمين في الكشف عن هجمات تصعيد الامتيازات المحتملة أو التعرف على علامات الوصول غير المصرح به. نفذ حلول مراقبة الشبكة والسلوك، مثل:

• أنظمة كشف التسلل (IDS): استخدم IDS لمراقبة حركة الشبكة بحثًا عن علامات التسلل أو الأنشطة الضارة.
• إدارة معلومات وأحداث الأمان (SIEM): استخدم أدوات SIEM لجمع وتحليل وتنسيق بيانات السجلات من مصادر مختلفة، مما يساعد على تحديد الحوادث الأمنية المحتملة.
• تحليل سلوك المستخدمين والكيانات (UEBA): تنفيذ حلول UEBA لمراقبة وتحليل سلوك المستخدمين بحثًا عن علامات على نشاط غير عادي أو مشبوه قد يشير إلى الوصول غير المصرح به أو محاولات تصعيد الامتيازات.

5. فرض سياسة قوية لكلمات المرور

تقلل سياسة كلمات المرور القوية من خطر الوصول غير المصرح به وزيادة الامتيازات من خلال هجمات كلمات المرور. تأكد من أن سياسة كلمات المرور الخاصة بك تتضمن:

• التعقيد: تتطلب كلمات المرور أن تتضمن مزيجًا من الأحرف الكبيرة والصغيرة، والأرقام، والرموز الخاصة.
• الطول: فرض حد أدنى لطول كلمة المرور، عادةً ما بين 12-16 حرفًا.
• تدوير كلمة المرور: حدد فترة انتهاء صلاحية كلمة المرور، مما يتطلب من المستخدمين تغيير كلماتهم بانتظام. تأكد من أنهم لا يمكنهم تكرار كلمات المرور لمدة 3 دورات على الأقل.
• قفل الحساب: تنفيذ سياسات قفل الحسابات لقفل الحسابات بعد عدد محدد من محاولات تسجيل الدخول الفاشلة، مما يقلل من خطر هجمات القوة الغاشمة.

6. إجراء تدريب لزيادة الوعي بالأمن

"قم بتثقيف موظفيك حول مخاطر هجمات تصعيد الامتيازات وأهمية اتباع أفضل الممارسات الأمنية. يجب أن يغطي تدريب الوعي الأمني:"

• التعرف على أساليب الهندسة الاجتماعية: تدريب الموظفين على التعرف على محاولات التصيد الاحتيالي، والتظاهر، وغيرها من أساليب الهندسة الاجتماعية التي يمكن استخدامها للحصول على وصول غير مصرح به.
• ممارسات كلمات المرور الآمنة: قم بتثقيف المستخدمين حول أهمية إنشاء كلمات مرور قوية وفريدة من نوعها وعدم مشاركتها مع الآخرين.
• الإبلاغ عن الأنشطة المشبوهة: شجع الموظفين على الإبلاغ عن أي نشاط غير عادي أو مشبوه يواجهونه، مثل تغييرات الامتيازات غير المتوقعة أو محاولات الوصول غير المصرح بها.
• اتباع سياسات الأمان التنظيمية: تأكد من أن الموظفين يفهمون ويلتزمون بسياسات وإجراءات الأمان في منظمتك، بما في ذلك تلك المتعلقة بالتحكم في الوصول، وتحديثات البرمجيات، وإدارة الحسابات المميزة.
• التدريب المنتظم والتحديثات: قم بإجراء تدريبات توعية بالأمن بشكل منتظم وأبقي الموظفين على اطلاع بالتهديدات الناشئة والثغرات وأفضل الممارسات للبقاء محميين.

كيف يكتشف Exabeam زيادة الامتيازات

النشاط المميز، التصعيد، والإساءة هي ثلاثة مؤشرات شائعة تحت الفئات العامة لحالات الاستخدام لكل من المستخدم الداخلي الضار والمعلومات المعرضة للخطر.

تُجمع العلامات والمؤشرات من خلال إشارات من:

• التحكم في الوصول الفيزيائي
• تدقيق النقاط النهائية
• جدران الحماية
• أنظمة إدارة الوصول
• حماية النقاط النهائية
• الشبكات الخاصة الافتراضية (VPNs)
• الهوية كخدمة (تسجيل الدخول الموحد، إلخ)
• أجهزة إدارة الوصول المميزة
• مشاركة الملفات
• أمان البريد الإلكتروني
• والعديد من الآخرين

تعرف على المزيد حول استخدام Exabeam لمنع هذا الهجوم في مدونتنا كشف تصعيد الامتيازات: المفتاح لمنع الهجمات المتقدمة