Un amministratore malevolo è una persona che dispone già di accesso privilegiato a un sistema e lo usa per scopi non autorizzati. A differenza di un aggressore esterno che cerca un punto d’appoggio iniziale, questo utente spesso può modificare le impostazioni, accedere a dati sensibili o gestire account, perché il suo ruolo è considerato affidabile.
Questo è importante perché i normali controlli di sicurezza possono consentire le azioni amministrative e può essere difficile distinguere un uso improprio dal lavoro legittimo. Durante gli attacchi, un amministratore malevolo potrebbe modificare le configurazioni o manomettere i registri di audit. Se i log dell’host sono incompleti, come nel contesto di VMware ESX, gli investigatori potrebbero aver bisogno di prove indipendenti, quali log centralizzati, registri di autenticazione del piano di gestione e telemetria di rete. Le misure di difesa includono limitare e riesaminare l’accesso privilegiato, monitorare le attività amministrative, proteggere i log dalle manomissioni e confrontare i registri tra i sistemi.