Pass-the-hash
Windows-aanval: een gestolen wachtwoordhash kan direct voor authenticatie worden gebruikt, zonder het wachtwoord te kennen.
Het NTLM-protocol verstuurt de hash, niet het wachtwoord. Mimikatz is het klassieke gereedschap. Een belangrijke reden om NTLM uit te faseren en Kerberos af te dwingen. Verdediging: LAPS voor beheerderswachtwoorden, isolatie van inloggegevens (Credential Guard) en netwerksegmentatie.