DS-Replication-Get-Changes-All è un diritto esteso di Active Directory che consente a un principal di richiedere dati sensibili replicati della directory, inclusi attributi segreti come materiali relativi alle password, se combinato con le corrette autorizzazioni di replica. In genere è pensato per scenari di replica della directory ad alta fiducia, non per una delega ampia a utenti ordinari o account di servizio.
Questo diritto è importante perché gli aggressori che ottengono un account con privilegi di replica possono abusare della stessa logica di protocollo utilizzata dai controller di dominio, una tecnica spesso associata a DCSync. Se concesso in modo troppo ampio, può consentire l'estrazione di credenziali senza accesso diretto a un controller di dominio. I difensori dovrebbero limitare rigorosamente chi riceve questa autorizzazione, rivedere i percorsi di delega e monitorare l'attività di replica della directory e gli eventi di audit per individuare modelli di accesso insoliti.