Élévation de Privilèges

Pourquoi C'est Important

L'accès initial place rarement l'attaquant là où il doit être. La victime de phishing détient rarement les données convoitées, alors les adversaires pivotent via l'élévation de privilèges. Comprendre les chemins est fondamental pour red teamers, pentesters et analystes SOC.

SolarWinds (2020) a pivoté du compromis de la chaîne d'approvisionnement vers des tokens SAML falsifiés donnant un accès Global Admin. Sony Pictures (2014) a utilisé vol de credentials et abus d'Active Directory.

Types

Verticale

• Utilisateur standard → Local Admin
• Local Admin → SYSTEM/root
• User de Domaine → Domain Admin
• Cloud user → Cloud Admin

Horizontale

• Boîte A → Boîte B
• Données d'un tenant → autre tenant
• Workload → autre workload

Techniques Linux

# Vérifications rapides
sudo -l
find / -perm -4000 2>/dev/null
find / -writable -type d 2>/dev/null
cat /etc/crontab
getcap -r / 2>/dev/null
echo $PATH
uname -a

• Mauvais usage SUID : binaires GTFOBins
• Sudo mal configuré : NOPASSWD sur commandes dangereuses
• Exploits noyau : Dirty Pipe, OverlayFS
• Cron inscriptibles
• Évasion de conteneur

Techniques Windows

Élévation Cloud

• Chaînage de rôles IAM (iam:PassRole, sts:AssumeRole)
• Prise de contrôle de rôles d'exécution Lambda
• Permissions excessives sur fournisseurs d'identité
• Fédération mal configurée
• CI/CD compromis

Détection et Prévention

1. Moindre privilège et revues régulières.
2. Patcher noyaux et OS, surtout CISA KEV.
3. Local Admin Password Solution (LAPS).
4. EDR + Sysmon avec règles d'élévation.
5. Isolation Tier 0 pour l'identité.
6. BloodHound pour identifier chemins AD.
7. Limiter le blast radius cloud (SCPs, permission boundaries).

Concepts Liés

• Exploit
• Gestion des Identités
• Threat Hunting
• Penetration Tester