Честно, сомневаюсь, что даже самая продвинутая фильтрация реально выделит злой DCSync среди обычной репликации без огромного контекста и анализа поведения. Просто одни GUID и события — слишком мало, чтобы уверенно отличать зло и просто админские процессы. По факту многое упирается в грамотное внедрение политики и процессы, а не в одни только логи.