特权升级攻击，预防技术和工具

特权升级攻击发生在恶意行为者利用错误配置、漏洞、弱密码和其他漏洞来访问受保护资产时。

典型的攻击可能从攻击者先获得对低级特权帐户的访问开始。一旦登录，攻击者将研究系统以识别他们可以进一步利用的其他漏洞。然后他们使用这些特权冒充实际用户，获得对目标资源的访问权，并进行各种不可检测的任务。

特权升级攻击是垂直的或水平的。

在垂直类型中，攻击者获得访问权限后，将以该用户的身份执行任务。对于水平类型，攻击者将首先获得对一个或多个带有有限特权的帐户的访问权限，然后通过破坏系统获得更多权限以执行管理员角色。

这些权限使攻击者能够执行管理员任务、部署恶意软件或进行其他不良活动。例如，他们可以破坏运营、修改安全设置、窃取数据或以后留下未发现的后门来利用系统中的漏洞。

一般来说，就像网络攻击一样，特权升级利用网络、服务和应用程序中的系统和流程漏洞。因此，通过部署一系列良好的安全实践和工具，可以预防这些漏洞被利用。组织应该理想地部署能够扫描、检测和防止各种潜在和现有的安全漏洞和威胁的解决方案。

防止特权升级攻击的最佳实践

组织必须保护所有关键系统和数据，以及可能对攻击者具有吸引力的其他领域。攻击者所需的只是渗透一个系统。一旦内部，他们可以寻找漏洞，进一步利用以获得额外的权限。除了保护资产免受外部威胁的影响，同样重要的是采取足够的措施防止内部攻击。

虽然实际措施可能根据系统、网络、环境和其他因素而有所不同，但以下是组织可以用来保护其基础设施的一些技术。

保护和扫描您的网络、系统和应用程序

除了部署实时安全解决方案外，还必须定期扫描it基础设施的所有组件，以查找可能允许新威胁渗透的漏洞。为此，您可以使用有效的漏洞扫描器来查找未打补丁和不安全的操作系统和应用程序、配置错误、弱密码和其他攻击者可能利用的缺陷。

虽然您可以使用各种漏洞扫描器来识别过时软件中的弱点，但通常更新或打补丁所有系统是困难或不切实际的。特别是在处理传统组件或大规模生产系统时，这是一个挑战。

对于这种情况，您可以部署其他安全层，例如网络应用程序防火墙(waf)，它可以在网络层次上检测和阻止恶意流量。通常，即使底层系统未打补丁或过时，waf也能保护底层系统。

适当的特权账户管理

管理特权账户并确保它们安全，按照最佳实践使用，并且不被暴露是非常重要的。安全团队需要清楚所有账户的清单，它们存在的位置以及用途。

其他措施包括：

减少特权账户的数量和范围，监控并记录它们的活动。
分析每个特权用户或账户，以识别和解决任何风险、潜在威胁、来源和攻击者的意图。
主要的攻击模式和预防措施。
遵循最小特权原则。
防止管理员共享账户和凭证。

监控用户行为

分析用户行为可以发现是否存在被入侵的身份。通常，攻击者会针对能够访问组织系统的用户身份进行攻击。如果攻击者成功获取凭证，他们将登录网络并可能在一段时间内不被发现。

由于手动监控每个用户的行为很困难，最好的方法是部署用户和实体行为分析（ueba）解决方案。这样的工具可以持续监控用户的活动。然后，它创建一个合法的行为基线，用于发现异常活动，这些活动表明存在入侵。

生成的用户配置文件包含位置、资源、数据文件和用户访问和频率、具体的内部和外部网络、主机数量以及执行的进程等信息。有了这些信息，工具可以识别出与基线偏离的可疑行为或参数。

强密码策略和执行

建立并执行强密码策略，以确保用户使用独特且难以猜测的密码。此外，使用多因素身份验证可以增加额外的安全层，同时克服手动执行强密码策略时可能出现的漏洞。

安全团队还应部署必要的工具，如密码审计器、策略执行器等，可以扫描系统，识别和标记弱密码，或提示采取行动。执行工具确保用户的密码在长度、复杂性和公司策略方面符合要求。

组织还可以使用企业密码管理工具来帮助用户生成和使用符合身份验证要求的复杂和安全密码。

额外的措施，如多因素身份验证来解锁密码管理器，可以进一步增强其安全性，从而使攻击者几乎无法访问保存的凭证。典型的企业密码管理器包括keeper、dashlane和1password。

清理用户输入并保护数据库

攻击者可以利用易受攻击的用户输入字段和数据库来注入恶意代码、获取访问权限并破坏系统。因此，安全团队应使用最佳实践，如强身份验证和有效的工具来保护数据库和各种数据输入字段。

一个好的做法是在传输和静态存储的数据上加密，同时修复数据库并清理所有用户输入。额外的措施包括将文件设置为只读，并给予需要写入权限的组和用户。

用户培训

用户是组织安全链中最薄弱的环节。因此，赋予他们权力并培训他们如何安全地执行任务非常重要。否则，用户的一次点击可能导致整个网络或系统受到威胁。一些风险包括打开恶意链接或附件，访问被入侵的网站，使用弱密码等。

理想情况下，组织应该有定期的安全意识计划。此外，他们应该有一套验证培训成果的方法。

特权升级攻击预防工具

预防特权升级攻击需要结合多种工具。以下是其中之一。

特权访问管理（pam）软件解决方案

heimdal

heimdal的特权访问管理（pam）是一个企业级安全解决方案，旨在通过控制对敏感系统和应用的特权访问来帮助组织保护其最关键的资产和数据。该产品提供了一套全面的工具来管理、监控和审计特权访问，同时执行最低特权原则并减少攻击面。

通过使用heimdal的pam解决方案，组织可以轻松识别和管理其it基础设施中的特权账户，包括本地和云环境，使用一个集中化的仪表板。它提供对访问权限的细粒度控制，允许管理员定义策略并执行多因素身份验证、会话录制和密码管理，以确保对关键系统和数据的安全访问。

它还包括几个高级功能，例如会话监视和录制，可以实时查看特权用户活动，帮助检测和响应可疑行为。此外，它还提供自动化工作流程，简化访问请求和批准流程，减轻it团队的负担，并确保符合行业法规和标准。

解决方案的报告和分析功能提供有关用户行为、审计跟踪和合规状态的见解，使组织能够主动识别和减轻风险和漏洞。

heimdal的pam解决方案还与现有的it系统和应用集成，为整个组织提供无缝的访问管理。总体而言，heimdal的pam解决方案为管理特权访问、降低数据泄露风险以及确保符合行业标准和法规提供了全面且易于使用的解决方案。凭借其先进的功能和集成能力，该解决方案提供了强大的防御措施，帮助组织实现强大的安全姿态。

jumpcloud

jumpcloud 是一种作为服务（daas）解决方案，可以安全地在网络、系统、服务、应用和文件之间进行用户身份验证和连接。通常，这个可扩展的基于云的目录是一种管理、验证和授权用户、应用程序和设备的服务。

特点包括：

创建一个安全和集中的权威目录
支持跨平台用户访问管理
提供支持通过ldap、scim和saml 2.0控制用户访问应用程序的单点登录功能
提供对本地和云服务器的安全访问
支持多因素身份验证
自动管理安全和相关功能，如事件日志记录、脚本编写、api管理、powershell等

ping identity

ping identity 是一个智能平台，提供多因素身份验证、单点登录、目录服务等功能。它使组织能够增强用户身份安全和体验。

特点包括：

提供安全可靠的单点登录身份验证和访问服务
提供额外的安全层的多因素身份验证
增强数据治理和遵守隐私规定的能力
提供安全管理大规模用户身份和数据的目录服务
灵活的云部署选项，如作为服务（idaas）、容器化软件等

foxpass

foxpass 是一个可扩展的企业级身份和访问控制解决方案，可用于本地和云部署。它提供radius、ldap和ssh密钥管理功能，确保每个用户只能在允许的时间内访问特定的网络、服务器、vpn和其他服务。

该工具可以与office 365、google apps等其他服务无缝集成。

aws secrets manager

aws secrets manager 提供了一种可靠和有效的方式来保护访问服务、应用程序和其他资源所需的机密信息。它允许您轻松地管理、轮换和检索api密钥、数据库凭据和其他机密信息。

还有更多您可以探索的机密管理解决方案。

用户和实体行为分析（ueba）解决方案

exabeam

exabeam 安全管理平台是一个快速且易于部署的基于ai的行为分析解决方案，可帮助跟踪不同服务中的用户和账户活动。您还可以使用exabeam摄取来自其他it系统和安全工具的日志，对其进行分析，识别和标记风险活动、威胁和其他问题。

特点包括：

记录并提供有关事故调查的有用信息。这些信息包括特定帐户或用户首次访问服务、服务器或应用程序、或者从新的vpn连接、来自不寻常的国家等访问的所有会话。
可扩展的解决方案适用于单个实例、云和本地部署。
创建全面的时间线，清楚显示基于正常和异常帐户或用户行为的攻击者的完整路径。

cynet 360

cynet 360平台是一个综合解决方案，提供行为分析、网络和终端安全。它允许您创建用户配置文件，包括地理位置、角色、工作时间、对本地和基于云的资源的访问模式等。

该平台有助于识别以下异常活动：

首次登录到系统或资源
不寻常的登录位置或使用新的vpn连接
在非常短的时间内同时连接多个资源
在非工作时间访问资源的帐户

密码安全工具

密码审计工具

密码审计工具扫描主机名和ip地址，自动识别网络服务和web应用程序（如http web表单、mysql、ftp、ssh、rdp、网络路由器等）的弱凭据。然后尝试使用弱用户名和密码组合进行登录，以识别并警报弱凭据的帐户。

密码管理器pro

manageengine密码管理器pro为您提供全面的管理、控制、监控和审计解决方案，涵盖特权帐户的整个生命周期。它可以管理特权帐户、ssl证书、远程访问以及特权会话。

功能包括：

自动化并强制频繁更改关键系统（如服务器、网络组件、数据库和其他资源）的密码
在集中且安全的库中存储和组织所有特权和敏感帐户身份和密码。
使组织能够满足关键的安全审计以及符合hipaa、pci、sox等法规标准
允许团队成员安全共享管理密码。

漏洞扫描工具

invicti

invicti是一个可扩展的、自动化的漏洞扫描和管理解决方案，可以满足任何组织的需求。该工具可以扫描复杂的网络和环境，同时与包括ci/cd解决方案、sdlc等在内的其他系统无缝集成。它具有先进的功能，并针对复杂的环境和应用程序进行了优化，以扫描和识别漏洞。

此外，您可以使用invicti测试web服务器的安全配置错误，这些错误可能被攻击者利用。通常，该工具可以识别web应用程序、web服务、web页面、api等中的sql注入、远程文件包含、跨站脚本（xss）和其他owasp前10个漏洞。

acunetix

acunetix是一种综合解决方案，具有内置的漏洞扫描、管理功能，并与其他安全工具轻松集成。它可以帮助自动化漏洞管理任务，如扫描和修复，从而帮助您节省资源。

功能包括：

与其他工具集成，如jenkins，第三方问题跟踪器（如github，jira，mantis等）
本地部署和云端部署选项
可定制以适应客户环境和要求，以及跨平台支持
快速识别和响应各种安全问题，包括常见的web攻击，跨站脚本（xss），sql注入，恶意软件，配置错误，暴露的资产等

结论

就像网络攻击一样，特权提升利用网络、服务和应用程序中的漏洞。因此，通过部署正确的安全工具和实践，可以预防它们。

有效措施包括执行最低权限、使用强密码和身份验证策略、保护敏感数据、减少攻击面、保护帐户凭据等。其他措施包括保持所有系统、软件和固件最新和补丁，监控用户行为，并对用户进行安全计算实践培训。