ダイヤモンドチケット

ゴールデンチケットの弱点は、ドメインコントローラを一度も経由していないため、本物と完全には一致しにくい点にある。有効期間が不自然だったり、認可構造のフィールドが欠けていたり推測で埋められていたり、指定されたアカウントが実在しなかったりする。これらは検知ルールにでき、防御側は実際にそうしてきた。ダイヤモンドチケットは、自分が管理するアカウントの完全に正規なチケットを要求し、盗んだkrbtgt鍵で復号し、認可部分に特権グループを追加して再暗号化する。ドメインコントローラが実際に発行したチケットなので、メタデータは正しく、ログにも本物のログオンイベントが残る。間違っているのは中身だけだ。