Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Русский
Entry № 1002

SeDebugPrivilege

Что такое SeDebugPrivilege?

SeDebugPrivilegeМощная привилегия Windows, дающая владельцу право открывать, читать и изменять память любого процесса, включая LSASS, и потому являющаяся главной целью для кражи учётных данных.

SeDebugPrivilege — привилегия Windows, определённая в Local Security Authority: если она присутствует в токене процесса, тот может открыть любой процесс или поток (включая принадлежащие SYSTEM) с правами PROCESS_ALL_ACCESS. По умолчанию она выдаётся только локальной группе Administrators и процессам SYSTEM, и Microsoft документирует её как фактически эквивалентную правам администратора хоста. Mimikatz, ProcDump (для дампа LSASS) и EDR-продукты требуют этой привилегии для инспекции памяти. Для атакующих она ключевая: с SeDebugPrivilege можно сбросить LSASS, перехватить токены, инжектироваться в защищённые процессы и отключать средства защиты. Защитники мониторят события 4673/4703 в журнале Security, включают Credential Guard и убирают это право через GPO.

● Примеры

  1. 01

    Атакующий включает SeDebugPrivilege в процессе Mimikatz и выполняет sekurlsa::logonpasswords для дампа LSASS.

  2. 02

    Использование ProcDump -ma для получения дампа памяти LSASS и оффлайн-извлечения учётных данных.

● Частые вопросы

Что такое SeDebugPrivilege?

Мощная привилегия Windows, дающая владельцу право открывать, читать и изменять память любого процесса, включая LSASS, и потому являющаяся главной целью для кражи учётных данных. Относится к категории Идентификация и доступ в кибербезопасности.

Что означает SeDebugPrivilege?

Мощная привилегия Windows, дающая владельцу право открывать, читать и изменять память любого процесса, включая LSASS, и потому являющаяся главной целью для кражи учётных данных.

Как работает SeDebugPrivilege?

SeDebugPrivilege — привилегия Windows, определённая в Local Security Authority: если она присутствует в токене процесса, тот может открыть любой процесс или поток (включая принадлежащие SYSTEM) с правами PROCESS_ALL_ACCESS. По умолчанию она выдаётся только локальной группе Administrators и процессам SYSTEM, и Microsoft документирует её как фактически эквивалентную правам администратора хоста. Mimikatz, ProcDump (для дампа LSASS) и EDR-продукты требуют этой привилегии для инспекции памяти. Для атакующих она ключевая: с SeDebugPrivilege можно сбросить LSASS, перехватить токены, инжектироваться в защищённые процессы и отключать средства защиты. Защитники мониторят события 4673/4703 в журнале Security, включают Credential Guard и убирают это право через GPO.

Как защититься от SeDebugPrivilege?

Защита от SeDebugPrivilege обычно сочетает технические меры и операционные практики, как описано в определении выше.

Какие есть другие названия SeDebugPrivilege?

Распространённые альтернативные названия: SeDebug, право Отладка программ.

● Связанные термины