NTDS.dit
各ドメインコントローラー上にある、Active Directory全体を収めたファイル。すべてのオブジェクト、属性、パスワードハッシュが入っている。Windows環境で最も価値の高いファイルだ。
データベースは通常 C:\Windows\NTDS にあり、サービス稼働中はロックされている。そのため攻撃者は、シャドウコピー、インストールメディア作成用の組み込み管理コマンドによるコピー、ファイルシステムの直接読み取りなどで入手する。中のハッシュはさらに、レジストリ内の値で保護された鍵で暗号化されている。使える形で取り出すには、データベースファイルとレジストリの該当部分の両方が必要になる。
両方が揃えば、krbtgtを含むドメイン内のすべてのアカウントが陥落する。つまり、そのアカウントを2回ローテーションするまで、チケットを偽造できる。こうした侵入の後で管理者パスワードを変えるだけでは、何の解決にもならない。