В итоге всё сводится к процессам, а не к крутым штукам. Даже самый навороченный SOC без правильного аудита и фильтров просто тонет в ложных срабатываниях. Чтобы поймать реальный DCSync, нужна продуманная фильтрация по юзерам и времени, а не голый GUID. Без базовой гигиены паролей, ротации и правильных прав, никакие миллионы на защиту не помогут. Вот и всё.