умышленники будут использовать методы горизонтального повышения привилегий, потому что они менее сложны в исполнении. Однако хакеры-ве- тераны,хорошо разбирающиеся в системах,на которые нацелены,используют вертикальныеметодыповышенияпривилегий.Здесьбылирассмотренынеко- торые из этих методов. В большинстве случаев было ясно, что хакеры должны нацеливаться на легитимные процессы и сервисы, чтобы повысить привиле- гии, потому что большинство систем построено с использованием концепции наименьших привилегий. Пользователям целенаправленно предоставляются наименьшие привилегии,которые имтребуютсядля выполнения своих ролей. Привилегии высокого уровня предоставляются только легитимным службам и процессам,и поэтому злоумышленникам в большинстве случаев приходится их взламывать.

Справочные материалы

1.Gouglidis A., Mavridis I., and Hu V. C. Security policy verification for multi-do- mains in cloud systems // International Journal of Information Security. 2014. № 13 (2). C. 97–111. https://search.proquest.com/docview/1509582424. DOI: http://dx.doi.org/10.1007/s10207-013-0205-x.

2.Sommestad T., and Sandström F. An empirical test of the accuracy of an at- tack graph analysis tool // Information and Computer Security. 2015. № 23 (5). C. 516–531. https://search.proquest.com/docview/1786145799.

3.Groves D. A. Industrial Control System Security by Isolation: A Dangerous Myth // American Water Works Association.Journal. 2011. № 103 (7). С. 28–30. https://search.proquest.com/docview/878745593.

4.Asadoorian P. Windows Privilege Escalation Techniques (Local) – Tradecraft Security Weekly #2 – Security Weekly // Security Weekly. 2017. https://secu- rityweekly.com/2017/05/18/windows-privilege-escalation-techniques-local-tra- decraft-security-weekly-2/.

5.Perez C. Meterpreter Token Manipulation // Shell is Only the Beginning. 2017. https://www.darkoperator.com/blog/2010/1/2/meterpreter-token-manipulation. html.

6.Knight S.Exploit allows command prompt to launch at Windows 7 login screen// TechSpot. 2017. https://www.techspot.com/news/48774-exploit-allows-command- prompt-to-launch-at-windows-7-login-screen.html.

7.Application Shimming // Attack.mitre.org. 2017. https://attack.mitre.org/techniques/T1138/.

8.Bypass User Account Control // Attack.mitre.org. 2017. https://attack.mitre.org/ techniques/T1088/.

9.DLL Injection // Attack.mitre.org. 2017. https://attack.mitre.org/techniques/ T1055/.

10.DLL Hijacking Attacks Revisited // InfoSec Resources. 2017. https://resources.

infosecinstitute.com/dll-hijacking-attacks-revisited/.

Политика безопасности

Начиная с главы 3 «Жизненный цикл атаки» до главы 8 «Повышение привиле- гий» мы рассказывали о стратегиях атак и о том, как Красная команда может повысить уровень безопасности организации, используя распространенные методы атак. Теперь пришло время сменить тему и начать смотреть на вещи с точки зрения обороны.Нетдругого способа начать говорить о стратегиях за- щиты, кроме как вспомнить о политике безопасности. Хороший набор поли- тик безопасности необходим, чтобы гарантировать, что вся компания следует четко определенному набору основных правил, которые помогут защитить ее данные и системы.

В этой главе мы рассмотрим следующие темы:проверка политики безопасности;обучение конечного пользователя;соблюдение политики;мониторинг на соответствие.

Проверка политики безопасности

Возможно, первый вопрос должен звучать так: «У вас вообще есть политика безопасности?» Даже если последует ответ «Да», вам все равно нужно продол- жать задавать эти вопросы. Следующий вопрос: «Применяете ли вы эту по- литику?» Опять же, даже если ответ будет «Да», вы должны задать следующий вопрос: «Как часто вы проверяете эту политику безопасности в поисках улуч- шений?» Теперь мы подошли к тому моменту, когда можем с уверенностью сделать вывод, что политика безопасности – это живой документ, поэтому ее необходимо пересматривать и обновлять.

Политика безопасностидолжна включатьв себя отраслевые стандарты,про- цедуры и руководства,которые необходимыдля поддержки информационных рисковвповседневнойработе.Уэтойполитикитакжедолжнабытьчеткоопре- деленная область действия.

Крайне важно, чтобы была указана область применения политики безопас- ности. Например, если она относится ко всем данным и системам, это должно