Een penetratietest heeft aangetoond dat domain administrator-accounts kwetsbaar waren voor pass-the-hash-aanvallen. Welke van de volgende opties zou de beste strategie zijn geweest om te voorkomen dat de dreigingsactor domain administrator-accounts zou gebruiken?

Een privileged access management (PAM)-oplossing is de beste strategie omdat deze specifiek is ontworpen om het gebruik en de toegang tot privileged accounts, zoals domain administrator-accounts, te beveiligen en te beheren. PAM-systemen kunnen just-in-time toegang, sessiebewaking, wachtwoordrotatie en multifactorauthenticatie (MFA) afdwingen, waardoor de kwetsbaarheid voor pass-the-hash-aanvallen aanzienlijk wordt verminderd. Wekelijkse controle op wachtwoordconformiteit is onvoldoende, aangezien een gecompromitteerd hash al schade kan aanrichten voordat de controle plaatsvindt. IDS-beleid monitort weliswaar toegang, maar voorkomt de aanval niet proactief. Het afdwingen van wachtwoordverloop via Group Policy is een goede praktijk, maar biedt geen directe bescherming tegen pass-the-hash, omdat de hash zelf wordt gebruikt, niet het wachtwoord.