В общем, всё оказалось проще, чем думал — если попадёшь в машину с админским хешем, реально можно быстро пролезть дальше по сети. Главное, чтобы админы не лазили с доменными аккаунтами на обычные ПК и не оставляли одни пароли на всем подряд. Про мониторинг — согласен, без него толку мало, заходы по хешам без нормального аудита не заметить. Короче, игра стоит свеч, но без дубля контроля цепочка ломается.