En salami-attack (eller salami-slicing) är en cyberintrångsstrategi där angripare inkrementellt eskalerar privilegier genom små, ofta omärkliga steg – som att skiva tunna skivor salami – och så småningom får administrativ kontroll.
Typiskt angreppsmönster
- Initial fotfäste via nätfiske, sårbarhetsutnyttjande eller credential stuffing.
- Lågnivå-åtkomst används för laterala rörelser och inkrementell privilegieeskalering.
- Varje steg förblir under varningströsklar, undviker upptäckt.
- Under veckor eller månader uppnår angripare domänadmin eller systemkontroll.
Försvar-i-djup-åtgärder
1. Minska attackytan
- Automatiserad patch-hantering; prioritera CVE med kända exploits.
- Försäkra minsta privilegium: inga adminrättigheter för dagliga uppgifter; använd Just-In-Time (JIT) eskalering.
- Inaktivera oanvända tjänster/portar; implementera applikationsvitlistning.
2. Stark autentisering
- Nätfiske-resistent MFA överallt (FIDO2/WebAuthn, inte bara SMS).
- Kräv lösenordshanterare; förbjuda lösenordsåteranvändning; rotera tjänstekonton regelbundet.
3. Övervakning och detektering
- SIEM med UEBA (User Entity Behavior Analytics) för avvikande inloggningar, privilegianvändning och laterala rörelser.
- Logga alla privilegieförändringar, admingruppmodifieringar, schemalagda uppgifter och tjänstinstallationer.
- Distribuera honeypots och bedrägeriteknik.
4. Revision och svar
- Kvartalsvis åtkomstgranskning (attestation).
- Årlig red team/penetrationstest.
- Incidenthanteringsplan med specifika salami-attackscenarier.
5. Nätverkssegmentering
- Zero Trust-arkitektur med mikrosegmentering; verifiera varje begäran.
- Isolera adminnätverk (Privileged Access Workstations - PAWs).
Salami-attacker trivs på hemlighållen. Omfattande synlighet, strikt minsta privilegium och snabba detektionsförmågor bryter angreppskedjan innan kritiska tillgångar komprometteras.
