Golden Ticket
Windowsドメイン内で任意のKerberos TGTを偽造する攻撃。攻撃者がkrbtgtのハッシュを握れば、ドメインは完全に掌握される。
Active Directoryでは、サービスアカウントkrbtgtがすべてのKerberosチケットに署名する。攻撃者がkrbtgtのNTハッシュを入手すると（通常はドメインコントローラーを奪ったあとのDCSync経由）、管理者を含む任意のユーザーの有効なTGTをオフラインで偽造できる。Mimikatzにはkerberos::goldenコマンドが組み込まれている。対策は、krbtgtのパスワードを2回ローテーションすること（Microsoftのスクリプト）、Tier 0の分離、管理者アカウントへのMFAである。