DCSync
ドメインコントローラーのふりをして、本物にパスワードデータベースの複製を要求する手口。サーバー上でコードは動かず、正規の機能を悪用するだけである。
ドメインコントローラー同士はMS-DRSRプロトコルで同期しており、DRSGetNCChanges呼び出しは、パスワードハッシュを含む名前付けコンテキストの変更を取得する。必要な権限であるDS-Replication-Get-ChangesとそのAll版は、本来Domain Admins、Enterprise Admins、ドメインコントローラーだけのものだが、サービスアカウントに安易に付与されたり、移行後に残ったりしがちだ。これがあれば攻撃者はkrbtgtを含む任意アカウントのハッシュを引き出し、ゴールデンチケットを偽造できる。Mimikatzではlsadump::dcsyncで実行する。検知は十分可能だが、実際に見ていることが前提になる。ドメインコントローラーでない機器からのレプリケーション通信が正常であることはない。