Il SYSTEM hive è un hive del registro di Windows che memorizza dati di configurazione a livello di sistema, incluse le impostazioni di avvio e le chiavi correlate alla sicurezza. Su un controller di dominio, può contenere il materiale crittografico necessario per decrittografare offline parti protette del database di Active Directory. Da solo, l'hive di solito non è l'obiettivo; il suo valore deriva dall'abbinamento con file come ntds.dit.
Questo è importante perché gli attaccanti che copiano entrambi i file possono analizzare le credenziali di dominio senza accedere al server. Ciò può esporre hash delle password, chiavi Kerberos e dati sulla cronologia delle password, trasformando il furto di un file in un rischio di identità esteso all'intero dominio. I difensori trattano i controller di dominio, i backup e gli snapshot come risorse di alto valore e limitano l'accesso a qualsiasi copia che includa il SYSTEM hive. Il monitoraggio di esportazioni non autorizzate, abuso dei backup o estrazione di snapshot può aiutare a individuare tempestivamente attività di credential dumping.