Golden Ticket
Подделка любого Kerberos TGT в домене Windows — полный захват домена, если у атакующего есть хеш krbtgt.
В Active Directory служебная учётная запись krbtgt подписывает все Kerberos-билеты. Если атакующий получает NT-хеш krbtgt (обычно через DCSync после захвата контроллера домена), он может офлайн подделывать валидные TGT для любого пользователя, включая администраторов. В Mimikatz для этого есть встроенная команда kerberos::golden. Меры защиты: дважды сменить пароль krbtgt (скрипт Microsoft), изоляция Tier 0, MFA для административных учётных записей.