LAPS
A resposta da Microsoft a todas as máquinas da organização compartilharem a mesma senha de administrador local. Cada uma ganha a sua, aleatória, guardada no diretório.
A senha local compartilhada é o motivo mais comum de uma invasão se espalhar de uma estação para o parque inteiro: pegue o hash de uma máquina e ele funciona em todas as outras, sem precisar quebrar nada. O LAPS, em vez disso, gera uma senha aleatória por computador, a rotaciona conforme uma política e a armazena num atributo do objeto de computador no Active Directory, com permissões que controlam quem pode lê-la. A versão original guardava a senha em texto claro e exigia a instalação de um componente cliente; o Windows LAPS, de 2023, é embutido no sistema operacional e criptografa o valor. O achado clássico de auditoria é que a permissão de leitura do atributo foi concedida de forma ampla demais.