Наконец-то кто-то подробно разобрал проблему с сервисными аккаунтами и токенами. Самое главное — это не расслабляться и контролировать их жизненный цикл, потому что одна забытая ротация может стоить всего доступа. Правила Sigma и Falco реально помогают поймать подозрительные действия, даже если атака идёт тихо. Вот так и надо работать с современными угрозами, а не ждать беды.