Il controllo del dominio è uno stato ad alto privilegio in un ambiente Windows in cui un attaccante può influenzare l'autenticazione, l'amministrazione e i criteri di un intero dominio. In pratica, questo spesso significa avere il controllo sugli oggetti di Active Directory come utenti, gruppi, computer, controller di dominio e Criteri di gruppo. Una volta che un attaccante raggiunge questo livello, spesso può creare o elevare account, modificare password, alterare le relazioni di trust e distribuire modifiche di configurazione a molti sistemi contemporaneamente.
Questo è importante perché un dominio è il nucleo di fiducia di molte aziende. Se un intruso ruba credenziali privilegiate, compromette un controller di dominio o abusa della replica e della delega della directory, può trasformare un singolo punto d'appoggio in un controllo esteso. I difensori riducono questo rischio limitando l'accesso privilegiato, proteggendo gli account amministrativi, monitorando le modifiche alla directory e all'autenticazione, segmentando i ruoli amministrativi a livelli e rafforzando i sistemi esposti a Internet che possono fungere da punti di ingresso nel dominio.