Diamond Ticket
En Golden Ticket för den som bryr sig om att inte synas: istället för att förfalska en biljett från grunden begär man en äkta och ändrar bara innehållet.
Problemet med en gyllene biljett är att den aldrig varit i närheten av en domänkontrollant, och att den därför sällan ser ut precis som en riktig. Livslängder blir udda, fält i behörighetsstrukturen saknas eller fylls med gissningar, och kontot som anges kanske inte existerar — allt detta går att skriva detektionsregler för, och det har försvararna gjort. Diamantvarianten begär istället en fullt legitim biljett för ett konto man kontrollerar, dekrypterar den med den stulna krbtgt-nyckeln, lägger till privilegierade gruppmedlemskap i behörighetsdelen och krypterar tillbaka. Resultatet är en biljett domänkontrollanten faktiskt har utfärdat, med korrekt metadata och en verklig inloggningshändelse i loggen. Bara innehållet är fel.