Privilege Escalation Adalah: Jenis, Contoh, dan Cara Mencegahnya

Privilege escalation adalah teknik yang digunakan penyerang untuk meningkatkan hak akses akun mereka di dalam sistem, misalnya dari user biasa menjadi administrator atau root.

Eskalasi ini terjadi karena kerentanan perangkat lunak, konfigurasi yang salah, atau akun yang diberikan hak terlalu luas. Akibatnya, penyerang bisa membaca, mengubah, atau menghapus data yang seharusnya tidak bisa mereka sentuh.

Setiap sistem operasi membagi hak akses ke dalam tingkatan. Ada akun tamu, akun user biasa, akun administrator, dan akun root yang hampir tidak terbatas. Sistem dibuat demikian agar sebagian besar pengguna tidak perlu menyentuh konfigurasi sensitif.

Celah muncul ketika seseorang atau proses di dalam sistem memperoleh hak di luar cakupannya tanpa izin.

Poin penting:

• Privilege escalation menaikkan hak akun biasa ke admin atau root, lewat kerentanan, konfigurasi salah, atau hak yang terlalu luas.
• Ada dua bentuk privilege escalation: eskalasi vertikal yang naik tingkatan, dan eskalasi horizontal yang menjangkau akun setara.
• Deteksi dan pencegahannya bertumpu pada least privilege, patching, MFA, PAM, dan pemantauan akun istimewa.

Apa itu Privilege Escalation?

Dalam literatur keamanan, privilege escalation adalah eksploitasi terhadap kelemahan pada kontrol otorisasi sehingga sebuah akun memperoleh hak akses yang lebih tinggi dari yang semestinya diberikan.

NIST National Vulnerability Database mengelompokkan kerentanan yang mengarah ke kondisi ini dalam kategori kelemahan kontrol akses, sementara MITRE ATT&CK memasukkannya sebagai tujuan akhir dari beberapa teknik serangan, bukan sebagai satu exploit tunggal. Artinya, privilege escalation adalah tahap dalam rantai serangan, bukan peristiwa yang berdiri sendiri.

Sebagai gambaran sederhana, bayangkan sebuah aplikasi perbankan internet. Nasabah A hanya boleh melihat rekening milik nasabah A. Ketika nasabah A bisa membuka rekening nasabah B hanya dengan mengubah angka pada URL, ia memperoleh hak yang bukan miliknya. Jika nasabah A bisa membuka halaman admin bank, ia naik tingkatan.

Dua situasi tersebut adalah dua bentuk privilege escalation yang berbeda, dan keduanya yang dipakai di hampir semua literatur keamanan:

• Eskalasi vertikal (vertical privilege escalation atau elevation of privilege): akun dengan hak rendah naik ke hak yang lebih tinggi.
• Eskalasi horizontal (horizontal privilege escalation): akun tetap berada di tingkatan yang sama, tetapi mengakses resource milik akun lain yang setara.

Eskalasi vertikal adalah yang paling dicari penyerang, karena begitu sebuah akun mencapai level root atau administrator, batas teknis hampir tidak ada lagi. Mereka bisa mematikan antivirus, menghapus log, membuat akun baru, atau memasang perangkat lunak yang bertahan lama di dalam sistem.

Baik horizontal maupun vertikal, yang membuat privilege escalation sulit dikenali adalah sifat akhirnya: aktivitas yang sudah dielevasi terlihat seperti aktivitas administrator pada umumnya.

Perintah sudo, pembacaan file sistem, dan penambahan user ke grup admin adalah pekerjaan rutin tim IT, sehingga penyerang yang sudah naik hak dapat berbaur dengan pekerjaan biasa sebelum ada yang menyadarinya.

Perbedaan Eskalasi Horizontal dan Vertikal

Kedua bentuk ini sering tertukar dalam pembahasan awam. Perbedaannya terlihat jelas ketika kedua jalur dibandingkan baris per baris:

Dimensi	Eskalasi Horizontal	Eskalasi Vertikal
Pengertian	Berpindah ke akun lain pada tingkatan yang sama	Naik ke tingkatan hak yang lebih tinggi
Tujuan penyerang	Mengakses data milik orang lain	Mendapatkan kontrol penuh atas sistem
Contoh teknik	Pencurian kredensial, session hijacking, IDOR	Eksploitasi kerentanan, sudo salah konfigurasi, UAC bypass
Contoh situasi	Nasabah A membuka rekening nasabah B	User biasa menjalankan perintah sebagai root
Istilah di MITRE ATT&CK	Valid Accounts (T1078), Lateral Movement	Exploitation for Privilege Escalation (T1068), Access Token Manipulation (T1134)
Dampak langsung	Kebocoran data antarpengguna	Kehilangan kontrol atas seluruh sistem

Eskalasi horizontal tidak menambah hak, tetapi memperluas jangkauan. Penyerang mencuri kredensial satu akun lalu berpindah ke akun lain yang setara. Dalam skala besar, teknik ini disebut lateral movement.

Kasus peretasan kartu kredit di Target pada 2013 mengikuti persis pola ini, dan urutannya dibahas lengkap pada bagian contoh nyata. Intinya sederhana: tidak ada satu pun akun yang naik level, semuanya bergerak menyamping.

Eskalasi vertikal adalah bentuk yang mengubah insiden kecil menjadi bencana. Penyerang memulai dari akun dengan hak paling minim, lalu menemukan jalan menuju administrator.

Cara paling umum adalah memanfaatkan konfigurasi sudo yang longgar. Perintah sudo seharusnya hanya memberi hak tambahan pada perintah tertentu, tetapi entri NOPASSWD ALL untuk seluruh grup pengguna membuat siapapun di grup tersebut bisa menjadi root tanpa password.

Contoh lain yang lebih teknis adalah PwnKit, kerentanan pada utilitas pkexec Linux (CVE-2021-4034) yang dipublikasikan pada Januari 2022. Qualys mencatat bahwa eksploitasinya hanya membutuhkan beberapa baris kode dan berjalan di distribusi Linux mana pun yang mereka uji.

Bagaimana Privilege Escalation Bekerja

Privilege escalation hampir tidak pernah menjadi langkah pertama. Serangan mengikuti urutan yang konsisten:

1. Akses awal. Penyerang memperoleh pijakan melalui phishing, kebocoran kredensial dari layanan pihak ketiga, atau kerentanan yang terekspos ke internet.
2. Pemetaan. Dari dalam sistem, mereka memetakan hak akses yang dimiliki, mencari file kredensial, mengecek entri sudo, dan mencari kerentanan yang belum di-patch.
3. Eskalasi. Mereka mengeksploitasi temuan tersebut, entah itu kerentanan perangkat lunak, konfigurasi permission yang salah, atau akun istimewa yang tidak terjaga.
4. Tujuan akhir. Dengan hak administrator, penyerang mengekstraksi data, memasang persistensi, atau menyiapkan deployment ransomware.

Durasi tahap ketiga bisa sangat singkat. Begitu satu misconfiguration ditemukan, jalan menuju root bisa terbuka dalam hitungan menit.

Eskalasi juga tidak mengenal batas jarak: ia bisa terjadi secara lokal, ketika penyerang sudah berada di dalam sistem, maupun dari jarak jauh melalui layanan yang terhubung ke internet.

Contoh Privilege Escalation yang Pernah Terjadi

Target (2013), jalur horizontal. Kredensial vendor Fazio Mechanical Services dicuri melalui phishing. Kredensial tersebut membuka portal penagihan vendor, dari sana penyerang berpindah lateral ke jaringan internal dan server point-of-sale.

Kasus ini menunjukkan bahwa akun dengan hak terbatas tetap berbahaya ketika berada di jaringan yang salah.

Capital One (2019), kegagalan konfigurasi cloud. Seorang engineer salah mengkonfigurasi Web Application Firewall sehingga terbuka SSRF, yang kemudian dipakai untuk mengambil kredensial IAM role dari metadata service AWS. Kredensial itu memberi akses baca ke S3 bucket berisi data puluhan juta pelanggan.

Insiden ini sering disebut bersama privilege escalation karena akarnya sama: identitas yang mendapat hak terlalu banyak.

Secara klasik insiden ini dikategorikan sebagai kegagalan konfigurasi, namun pelajarannya sama: hak akses yang tidak proporsional terhadap risiko akan meledak cepat atau lambat.

Teknik Privilege Escalation di Linux dan Windows

Di Linux

• Konfigurasi sudo yang longgar. Entri NOPASSWD yang terlalu luas, atau penggunaan command yang tidak dibatasi sehingga bisa membuka shell interaktif.
• Binary SUID yang salah konfigurasi. File dengan bit SUID dijalankan dengan hak pemilik file. Jika file tersebut bisa dimodifikasi oleh user biasa, jalur menuju root terbuka.
• File dan direktori yang bisa ditulis. Skrip cron milik root yang berada di direktori publik, atau file /etc/passwd yang bisa diedit user biasa.
• Eksploitasi kernel dan aplikasi. PwnKit pada pkexec, serta kerentanan kernel yang belum di-patch.
• Manipulasi environment. Variabel seperti LD_PRELOAD atau pengaturan PATH yang lemah membuat proses sah memuat library milik penyerang.

Di Windows

• Bypass User Account Control (UAC). UAC meminta konfirmasi sebelum sebuah proses naik hak. Konfigurasi yang longgar memungkinkan proses melewati konfirmasi tersebut.
• Manipulasi access token. Token berisi identitas dan hak proses. Teknik yang tercatat di MITRE ATT&CK sebagai T1134 memanipulasi token agar proses berjalan dengan hak milik proses lain.
• DLL hijacking. Penyerang menempatkan file DLL palsu di direktori yang dicari lebih dulu oleh aplikasi sah, sehingga kode berbahaya dimuat dengan hak aplikasi tersebut.
• Sticky keys. Mengganti sethc.exe dengan cmd.exe membuat siapapun bisa membuka prompt perintah di layar login dengan menekan Shift lima kali.
• AlwaysInstallElevated. Ketika kebijakan ini aktif, file .msi bisa diinstal dengan hak administrator meskipun dijalankan oleh user biasa.

Penyebab Privilege Escalation yang Paling Sering Ditemukan

Teknik pada bagian sebelumnya menjelaskan bagaimana penyerang menaikkan hak akses. Sisi organisasi menjelaskan mengapa jalur tersebut terbuka. Berikut empat akar penyebab yang muncul berulang dalam setiap audit keamanan:

Akses yang tidak pernah ditinjau ulang

Hak akses terakumulasi selama bertahun-tahun. Karyawan pindah divisi tetapi hak lama tidak dicabut, kontrak vendor berakhir tetapi akun remote tetap aktif, dan recertifikasi tidak pernah dijadwalkan sebagai agenda rutin. Setiap akun yang tidak direview adalah kandidat jalur eskalasi.

Patch yang tidak pernah diprioritaskan

Banyak privilege escalation tidak membutuhkan teknik canggih, cukup kerentanan lama yang exploitnya sudah tersedia publik. Yang sering tidak ada bukan kemampuan teknis, melainkan proses yang menentukan kerentanan mana yang harus diselesaikan lebih dulu.

Pemberian hak yang berlebihan sejak awal

Service account dengan hak admin penuh, akun aplikasi yang tidak pernah diganti passwordnya, atau akun bersama yang dipakai puluhan orang. Akun-akun ini lahir dari keputusan memberi hak seluas mungkin agar pekerjaan tidak terhambat, dan jarang disentuh kembali setelahnya.

Pola yang sama berlaku di lingkungan cloud: IAM role dengan policy terlalu luas berfungsi seperti akun admin yang tidak pernah direview, dan setiap workload yang terkompromikan otomatis mewarisi hak tersebut.

Kebersihan kredensial yang diabaikan

Phishing, kebocoran database pihak ketiga, dan credential stuffing tetap menjadi gerbang paling umum. Yang jarang dipenuhi adalah respons setelah kebocoran diketahui, seperti pergantian password massal dan pembatalan sesi lama. Begitu kredensial valid diperoleh, tahap eskalasi menjadi jauh lebih mudah.

Dampak Privilege Escalation

Kebocoran data yang tidak terdeteksi. Laporan IBM Cost of a Data Breach 2026 mencatat rata-rata biaya pelanggaran data global sebesar 4,99 juta USD dengan waktu deteksi dan penanganan rata-rata 247 hari. Rentang waktu tersebut memberi penyerang cukup luang untuk bergerak pelan dan menghindari perhatian.

Pintu masuk ransomware. Hampir seluruh deployment ransomware modern melewati tahap eskalasi hak akses sebelum mengenkripsi data. Backup menentukan apakah perusahaan membayar tebusan, tetapi manajemen hak akses menentukan apakah insiden tersebut terjadi.

Pelanggaran kewajiban regulasi. Di Indonesia, UU PDP mengatur kewajiban perlindungan data pribadi. Kegagalan kontrol akses yang berujung kebocoran membuka risiko sanksi administratif sebagai tambahan dari kerugian reputasi dan hilangnya kepercayaan klien.

Cara Mendeteksi Privilege Escalation

Deteksi yang efektif tidak bergantung pada satu tool. Kombinasi berikut sudah cukup untuk membangun visibilitas dasar:

Baseline perilaku per akun. Kumpulkan log autentikasi dan aktivitas administrator, lalu tetapkan pola normalnya. Aktivitas yang menyimpang dari baseline jauh lebih mudah diperhatikan daripada aktivitas yang dinilai “aneh” tanpa acuan.

UEBA dan SIEM yang sudah dikonfigurasi. User and Entity Behavior Analytics mendeteksi penyimpangan pola, seperti akun yang biasanya aktif di jam kerja tiba-tiba beroperasi tengah malam. Konfigurasi default biasanya terlalu berisik, jadi lakukan tuning selama 30 sampai 60 hari sebelum mengaktifkan mode ketat.

Indikator yang paling sering muncul:

• Perintah sudo atau su dari host yang tidak biasa
• Penambahan user baru ke grup admin di luar jendela perubahan
• Pembacaan /etc/shadow atau /etc/passwd oleh user non-admin
• Pembuatan file bersetuid baru
• Perubahan registry AlwaysInstallElevated atau penggantian sethc.exe di luar jendela perubahan
• Permintaan konfirmasi UAC yang muncul tanpa aktivitas pengguna yang sah
• Penghentian layanan logging tanpa tiket perubahan

Cek cepat di server Linux. Empat perintah berikut membutuhkan waktu kurang dari lima menit dan memberi gambaran kondisi server:

# 1. Cari entri sudo tanpa password
grep -r "NOPASSWD" /etc/sudoers.d/

# 2. Cari akun selain root yang memiliki UID 0
awk -F: '($3 == 0) {print}' /etc/passwd

# 3. Temukan binary SUID yang baru dibuat
find / -perm -4000 -type f -mtime -1

# 4. Pastikan layanan logging masih berjalan
systemctl status rsyslog auditd

Hasil yang tidak wajar dari keempat perintah tersebut layak ditindaklanjuti hari itu juga.

Cara Mencegah Privilege Escalation

Terapkan least privilege secara nyata. Prinsip least privilege hanya berhasil jika berlaku untuk akun lama maupun baru. Gunakan just-in-time access untuk hak admin, misalnya aktif selama 4 sampai 8 jam saat ada tugas, lalu dicabut otomatis.

Lengkapi dengan recertifikasi berkala setiap 90 hari agar manager memvalidasi kembali hak setiap bawahan.

Perbaiki konfigurasi secara berkala. Audit entri sudo, permission file kritis, dan role cluster secara rutin. Perhatikan temuan standar seperti Docker socket yang bisa ditulis user biasa atau service account Kubernetes dengan cluster-admin.

Aktifkan kontrol bawaan sistem operasi. ASLR dan DEP di Windows, serta SELinux atau AppArmor di Linux, memperkecil ruang gerak exploit yang mengincar eskalasi hak akses. Fitur ini sudah tersedia tanpa biaya tambahan, tetapi sering ditemukan dalam keadaan nonaktif atau berjalan mode permissive.

Penandatanganan modul kernel menambah satu lapis verifikasi lagi sebelum kode baru boleh berjalan dengan hak tinggi.

Patching berbasis risiko. Kerentanan critical dan high di-patch dalam 7 hari, medium dalam 30 hari. Uji di staging sebelum production. Panduan NIST SP 800-40 menekankan prioritas berdasarkan exploitabilitas, bukan berdasarkan jadwal.

MFA yang tidak bisa dilewati. MFA berbasis hardware token atau push notification dengan number matching jauh lebih aman dibanding SMS. SMS bisa dipindahkan penyerang lewat social engineering ke provider telepon.

PAM untuk akun kritis. Privileged Access Management mengisolasi akun admin dari workstation harian. Login melalui bastion host dengan sesi yang direkam menghasilkan jejak audit yang sulit dimanipulasi.

Audit konfigurasi dan pentest terarah. Pentest yang fokus pada satu vektor, misalnya privilege escalation di server Linux produksi, memberikan hasil yang lebih tajam daripada pemeriksaan komprehensif setahun sekali.

Kesalahan pencegahan yang paling sering terlihat: hanya memberlakukan least privilege pada akun baru, mengandalkan EDR sebagai satu-satunya pertahanan, dan mengabaikan akun service. EDR unggul dalam mendeteksi malware, tetapi tidak melihat konfigurasi sudo yang terlalu luas.

Kesimpulan

Privilege escalation dimanfaatkan penyerang karena kelemahan pada bagaimana hak akses di dalam sistem saling terhubung, bukan hanya karena satu kerentanan perangkat lunak yang menunggu patch.

Bentuknya ada dua, horizontal yang menyamping dan vertikal yang naik ke atas, dan keduanya hampir selalu menjadi tahap wajib sebelum insiden besar terjadi.

Yang membuat perbedaan bukan jumlah tool yang dipasang, melainkan disiplin membatasi hak, meninjau konfigurasi secara berkala, dan memantau aktivitas akun istimewa.

Empat perintah di bagian deteksi bisa dijalankan hari ini sebagai titik awal. Dari sana, bangun baseline, tutup jalur eskalasi yang terbuka, dan perlakukan setiap akun administrator sebagai akun yang perlu dibuktikan amannya.

FAQ: Privilege Escalation