Diamond Ticket
Een Golden Ticket voor wie niet gezien wil worden: in plaats van een ticket helemaal zelf te smeden, vraag je een echt ticket aan en pas je alleen de inhoud aan.
Het probleem met een golden ticket is dat het nooit in de buurt van een domeincontroller is geweest en daardoor zelden precies op een echt ticket lijkt. Geldigheidsduren zijn vreemd, velden in de autorisatiestructuur ontbreken of zijn geraden, en het genoemde account bestaat misschien niet. Dat alles is in detectieregels te vatten, en verdedigers hebben dat gedaan. De diamantvariant vraagt in plaats daarvan een volledig legitiem ticket aan voor een account dat je beheert, ontsleutelt dat met de gestolen krbtgt-sleutel, voegt bevoorrechte groepslidmaatschappen toe aan het autorisatiegedeelte en versleutelt het opnieuw. Het resultaat is een ticket dat de domeincontroller daadwerkelijk heeft uitgegeven, met correcte metadata en een echte aanmeldgebeurtenis in het log. Alleen de inhoud klopt niet.