У некоторых возникают вопросы, а что даст доступ к определенным средствам защиты в режиме администратора?

начнем с pt vm: как правило, интеграторы и другие вредренцы ленятся тонко настраивать учетные записи в ad для проведения аудитов и дают либо права локального администратора либо вовсе админа домена учетке которую использует сканер. В mp vm есть возможность выполнять powershell команды на аудируемых устройствах, чем собственно вы можете воспользоваться. Создать новую задачу, указать цель, выбрать учетную запись и поехали.

что же касается pt siem: из-за той же самой лени или проблем с руками некоторые дают широкие права учеткам сбора событий. Команды выполнять не получится, пароль учетных записей не посмотреть в веб интерфейсе. Но существует возможность перехватить пароль учетной записи:
- создать новую задачу с профилем Web API Audit
- указать интересующую учетную запись
- ip адрес и порт своего сервера
у себя запустить nc -lvp "порт" и в сиеме запустить задачу. В nc получите креды учетки в открытом виде. С данными кредами у вас намного больше шансов в инфре заказчика. P.S. Это не говоря о паролях в командах и параметрах, если логируют eventid 4688 или 1 (sysmon)

P.s.2. Это не косяки продуктов, это косяки тех кто не меняет пароли и не ограничивает доступ.