LAPS
Odpowiedź Microsoftu na to, że wszystkie komputery w organizacji mają to samo hasło lokalnego administratora: każdy dostaje własne, losowe, przechowywane w katalogu (Local Administrator Password Solution).
Wspólne hasło lokalne to najczęstszy powód, dla którego włamanie rozlewa się z jednej stacji roboczej na całą infrastrukturę: wystarczy hash z jednej maszyny, a działa na wszystkich pozostałych – nic nie trzeba łamać. LAPS generuje losowe hasło dla każdego komputera, rotuje je według polityki i zapisuje w atrybucie obiektu komputera w Active Directory, z uprawnieniami określającymi, kto może je odczytać. Pierwotna wersja zapisywała hasło jawnym tekstem i wymagała komponentu klienckiego; Windows LAPS z 2023 roku jest wbudowany w system i szyfruje wartość. Klasyczne ustalenie audytów: prawo odczytu atrybutu było przyznane zdecydowanie zbyt szeroko.