【情報セキュリティ】管理権限を奪い取る！「権限昇格」｜情報処理問題1000本ノック

攻撃者は、最初に侵入した一般ユーザーアカウントのままでは、重要なデータの閲覧やシステムの破壊ができません。そこから「管理者（Root/Administrator）」へと権限を格上げする攻撃を攻略しましょう。

1. 問題：ユーザー権限の不正な書き換え

【 問題 】 システムに低権限でログインした攻撃者が、OSやアプリケーションの脆弱性を突くことで、本来は許可されていない「管理者権限」や「より高い実行権限」を取得する行為を何と呼ぶでしょうか？

ア、権限昇格   イ、セッションハイジャック   ウ、ポートスキャン   エ、踏み台攻撃

2. 正解：サイバー攻撃のプロセスに関する正解

正解： ア、権限昇格

3. 解説：攻撃の「横」と「縦」の動き

権限昇格（Privilege Escalation）は、攻撃のステップにおいて極めて重要な段階です。これには「垂直方向」と「水平方向」の2種類があります。

【図解：権限昇格の2つのパターン】

■ 垂直方向の権限昇格（垂直昇格）
・一般ユーザーが「管理者（Admin/Root）」の権限を乗っ取ること。
・目的：システム設定の変更、ログの消去、全データの窃取。

■ 水平方向の権限昇格（水平移動：ラテラルムーブメント）
・自分と同じ権限を持つ「別の一般ユーザー」のアカウントを乗っ取ること。
・目的：別の部署のデータへのアクセスや、さらなる攻撃の足場固め。

[ よくある原因と対策 ]
★ OSの脆弱性：カーネルのバグなどを突き、一般プロセスの権限を跳ね上げる。
★ 設定不備：パスワードが設定されていない管理ツールや、不用意に高い実行権限が与えられたアプリケーションの悪用。
★ 最小権限の原則：ユーザーには業務に必要な「最小限の権限」のみを与える設計が最大の防御です。

1. 理解のコツ: 「平社員のIDカードで忍び込んだ不審者が、社長室の鍵（マスターキー）を手に入れる」のが垂直昇格、「隣のデスクの人のパソコンを勝手に使う」のが水平移動のイメージです。
2. 試験対策の視点: 攻撃のフェーズ（偵察→侵入→権限昇格→目的達成）の流れの中で出題されます。また、バッファオーバーフロー攻撃などの結果として、この権限昇格が発生することが多いという関連性も押さえておきましょう。

---

4. まとめ

「低権限から高権限へ不正にアクセス範囲を広げる」。これが権限昇格です。攻撃者がシステム内で自由自在に動けるようになるのを防ぐため、脆弱性への迅速なパッチ適用と、権限管理の徹底が求められます。