Silver Ticket
Een vervalst Kerberos-serviceticket. Geeft toegang tot één dienst op één host, maar laat nooit een regel achter in de logs van de domeincontroller.
Het verschil met een Golden Ticket zit in de sleutel die wordt gebruikt. Die laatste vervalst ticket-granting tickets met de hash van het krbtgt-account en geeft dus toegang tot alles. Een silver ticket wordt in plaats daarvan ondertekend met de hash van het serviceaccount zelf, wat volstaat omdat de dienst het ticket met zijn eigen sleutel valideert. De domeincontroller komt er daardoor nooit aan te pas, en dus is er centraal geen aanmeldgebeurtenis om te detecteren. Dat maakt de techniek een stuk stiller dan de gouden variant, ten koste van het bereik. Alleen de hash van het serviceaccount is nodig — of die van een computeraccount als het doel bestandsdeling is. Als verdediging dienen PAC-validatie en regelmatige rotatie van wachtwoorden van machineaccounts.