Хаха, ну понятно, что от обычного DC и злого ноль отличий, если GUID совпадают и лог похожий. Тут главное фильтровать не только по IP, а ещё смотреть частоту и время запросов, типо если бухгалтер вдруг начал DCSync шарить — это уже красный флаг. А так да, SOC обычно сидит и тупо собирает логи, а умные злоумышленники просто тихо делают своё дело без вспышек.