Golden Ticket
Podrobienie dowolnego biletu TGT Kerberosa w domenie Windows — całkowite przejęcie domeny, jeśli atakujący zdobędzie hasz konta krbtgt.
W Active Directory konto usługi krbtgt podpisuje każdy bilet Kerberosa. Jeśli atakujący zdobędzie hasz NT konta krbtgt (zwykle przez DCSync po przejęciu kontrolera domeny), może offline fałszować ważne bilety TGT dla dowolnego użytkownika — w tym administratorów. Mimikatz ma wbudowane polecenie kerberos::golden. Środki zaradcze: dwukrotna zmiana hasła krbtgt (skrypt Microsoftu), izolacja Tier 0, MFA dla kont administratorskich.