La compromissione di Active Directory significa che un attaccante ha ottenuto il controllo del sistema di identità centrale di Windows usato per autenticare utenti, computer e servizi. In pratica, ciò può comportare il furto di credenziali privilegiate, la presa di controllo dei controller di dominio, la modifica dei criteri di gruppo o la creazione di nuovi account e relazioni di trust che consentono all'attaccante di muoversi liberamente attraverso una rete.
Questo è importante perché Active Directory si trova al centro del controllo degli accessi aziendali. Se viene compromesso, i difensori possono perdere la capacità di fidarsi di accessi, autorizzazioni e impostazioni di sicurezza in tutto il dominio. Negli attacchi reali, gli intrusi spesso raggiungono Active Directory dopo aver compromesso un'appliance esposta a Internet o una singola workstation, per poi aumentare i privilegi e spostarsi verso un controllo più ampio. Le difese si concentrano sulla protezione degli account privilegiati, sul monitoraggio delle modifiche alla directory, sulla limitazione del movimento laterale e sulla rapida individuazione di attività anomale di autenticazione, replica o amministrazione.