Pass-the-ticket
Atak, w którym napastnik kradnie bilet Kerberos (TGT lub bilet usługi) z pamięci przejętej maszyny i używa go do uwierzytelnienia się jako ofiara — bez znajomości hasła.
Mechanizm: w Windows/Active Directory bilety Kerberos są przechowywane w pamięci. Mając uprawnienia administratora, napastnik może je zrzucić (np. Mimikatzem) i „przekazać” dalej na inne systemy — sam bilet dowodzi tożsamości, więc hasło nie jest potrzebne. Różni się od pass-the-hash (ponowne użycie skrótu NTLM): tu kradnie się sam bilet Kerberos. Pokrewne: golden ticket (sfałszowany TGT podpisany skrótem konta krbtgt) i silver ticket (sfałszowany bilet usługi). Służy do ruchu bocznego i podnoszenia uprawnień w domenie AD. Obrona: ochrona pamięci LSASS (Credential Guard), ograniczanie uprawnień administratorów, krótka ważność biletów i monitorowanie nietypowego ich użycia.