Короче, Kerberoasting и AS-REP Roasting — это как тихие лазейки в AD, где можно словить пароли сервисных аккаунтов, почти не светясь. Главное — не пренебрегать регулярной сменой паролей и вырубать поддержку RC4, иначе атаки идут на ура. И да, заводить фейковые SPN для ловли — простой и действенный способ увидеть кто шастает в домене без разрешения.