A detecção de Golden Ticket é possível inspecionando solicitações de tíquetes Kerberos onde os valores de vida útil do TGT estão acima dos intervalos permitidos.

A detecção de Kerberoasting é possível procurando por solicitações de tíquetes Kerberos com criptografia fraca para contas com valores SPN.

A detecção do DCShadow é possível procurando o processo de registro de qualquer sistema que não seja um controlador de domínio com os SPNs necessários para realizar o ataque.

A detecção de DCSync é possível procurando por solicitações de replicação em controladores de domínio que não são originados de outros controladores de domínio.

A detecção de espalhamento de senha é possível procurando por padrões que indiquem que a adivinhação de senha está ocorrendo em várias contas.

A detecção de reconhecimento de LDAP é possível procurando por atividade de consulta LDAP anormal no Active Directory.

A detecção de AdminSDHolder é direta e envolve o monitoramento de alterações na Lista de Controle de Acesso para este contêiner.

A detecção de ataques de hash é um desafio. Enquanto o invasor está contornando a etapa de validação de senha do processo de autenticação usando hashes NTLM roubados, a autenticação de rede real executada é válida.

A melhor detecção é procurar eventos de acesso inesperados no arquivo NTDS.dit.

A detecção é possível usando a abordagem Golden Ticket com informações de PAC forjado no Kerberos TGT.

A detecção de tentativas não autorizadas de recuperar senhas de contas de serviço gerenciadas de grupo é possível monitorando alterações de permissão, bem como LDAP e outras atividades de leitura em relação ao atributo de senha gMSA no Active Directory.