Я бы добавил, что часто помогает фильтрация по UserAgent и времени активности. Малвари бывает лень заморачиваться с вариациями, и частые одинаковые UserAgent или запросы по ночам — хороший сигнал. Ну и конечно, обвязка с EDR нужна, чтобы заметить подозрительный процесс вне привычного контекста.