Il database SAM, abbreviazione di Security Account Manager, è l'archivio locale di Windows per il materiale degli account di sicurezza. Contiene informazioni sugli utenti e sui gruppi locali, incluse le hash delle password per gli account locali. Durante il normale funzionamento, il sistema operativo e i componenti privilegiati lo usano per autenticare gli accessi locali e gestire i criteri degli account.
Nella sicurezza informatica, il SAM è importante perché protegge credenziali che possono essere abusate se un attaccante ottiene privilegi elevati su un host. Un utente che raggiunge NT AUTHORITY\SYSTEM o ottiene accesso offline al disco può essere in grado di leggere i dati del SAM, estrarre gli hash e provare il cracking offline delle password o il loro riutilizzo. Questo rende il SAM un obiettivo comune nelle catene di escalation dei privilegi e nelle attività post-exploitation. I difensori lo proteggono limitando l'escalation dei privilegi locali, rafforzando il software degli endpoint, monitorando gli strumenti di credential dumping e considerano qualsiasi percorso verso SYSTEM come un potenziale percorso verso la compromissione dell'account locale.