KRBTGT è l'account di servizio Kerberos predefinito in Active Directory. Il suo materiale segreto viene usato dal Key Distribution Center per firmare e convalidare i ticket-granting ticket, il che lo rende centrale per l'autenticazione e la fiducia del dominio.
È importante perché, se un attaccante ottiene i segreti di KRBTGT, può falsificare i ticket Kerberos e impersonare utenti o servizi nell'intero dominio. Negli attacchi reali, l'account è spesso un bersaglio di abusi di replica in stile DCSync, perché i diritti di replica della directory possono esporre i dati necessari per creare ticket validi. I difensori trattano KRBTGT come Tier-0: limitare i permessi di replica, proteggere i controller di dominio, monitorare attività insolite dei ticket Kerberos e ruotare con attenzione la password di KRBTGT quando si sospetta una compromissione.