Ну это как отличить мух от мухоморов, если они в одной корзине лежат. GUID один — значит по логам морока, не пробьёшься. Надо мозг включать и смотреть, кто, когда и откуда шарит, а не слепо по событиям. SOC, как обычно, собирает кашу, а реальный мутный DCSync тихо крадётся мимо ушей. В общем, фильтры нужны не по одному признаку, а комплексно, иначе просто шум.