Cazar la escalada de privilegios

Escalar privilegios es pasar del poder con el que entraste a uno mayor: de usuario normal a administrador, de administrador a sistema. El intruso lo hace porque muchas acciones (tocar otros perfiles, instalar un servicio, leer secretos) piden más permiso del que da un acceso inicial. La huella es un cambio de contexto: algo o alguien que empieza a operar con más poder del que tenía, sin que nadie se lo concediera por el camino previsto.

Lo cazable es ese «sin concesión legítima». En una empresa, ganar permisos deja rastro: un ticket, un cambio aprobado, una pertenencia a grupo registrada. Cuando el poder aparece y ese rastro no existe, la explicación honesta es una escalada, no un trámite.

Un vector deja rastro en los procesos: uno que arranca como usuario normal y, de pronto, opera con privilegios de sistema, o un parentesco que no cuadra —un servicio del sistema que lanza un intérprete de comandos, o una aplicación de ofimática que termina ejecutando algo como administrador—. El árbol de procesos cuenta quién lanzó a quién y con qué poder, y un salto de contexto en esa cadena es la huella.

Se caza por el parentesco y el contexto, no por el nombre del proceso: un intérprete no es raro, pero un intérprete hijo de un proceso que no debería lanzarlo, corriendo con más privilegio del que su padre justifica, sí lo es.

Otro vector deja rastro en las cuentas: una cuenta común que de repente pertenece a un grupo de administración. Añadir a alguien a un grupo privilegiado es una operación legítima, pero en una empresa pasa por un proceso —una petición, una aprobación, un registro—. Una cuenta que entra en el grupo de administradores sin ninguno de esos pasos, y en la ventana de un incidente, es la escalada escrita en la gestión de identidades.

La señal no es la pertenencia al grupo —hay administradores legítimos— sino la pertenencia nueva sin el trámite que la justifica. Se compara el cambio contra el registro de cambios aprobados: si no está, el poder se tomó, no se concedió.

El hilo común de los vectores es el mismo: un permiso presente sin un rastro de concesión. Cazar la escalada es, en buena parte, buscar poder sin procedencia —un privilegio que un proceso o una cuenta tiene y para el que no existe el registro normal de cómo se obtuvo—. Donde la vigilancia espera un evento concreto de «ataque», la caza de escalada busca una ausencia: la del trámite que debería acompañar a cualquier ganancia legítima de permisos.

Por eso ligar la escalada a la persistencia cuenta la historia completa: el intruso no solo se aseguró la vuelta, sino la vuelta con más poder. Encontrar las dos juntas, en la misma máquina y ventana, separa una curiosidad de un compromiso serio.

Abre el laboratorio de escalada de bri-ws-lgarcia. Hay cambios de privilegio legítimos —altas de administrador con su ticket de cambio aprobado— y uno que no: la cuenta lgarcia pasa a operar con privilegios de sistema a través de un servicio que lanzó un intérprete, sin ninguna petición ni aprobación detrás, en la ventana del incidente. Aísla el cambio de contexto sin concesión legítima y lee su anotación hasta el final.