Согласен, чисто по событию 4662 и GUID редко фармилось нормальное разделение легитимного DCSync от злоумышленника. У меня обычно идёт фильтр по Source Network Address плюс анализ частоты запросов от конкретного юзера. И обязательный cross-check с учётками, которым реально дали права на репликацию — так порой и видно, когда начались странные пики с нетипичных машин. Второй GUID тоже иногда подключаю, помогает чуть лучше отделить реплики DC от подозрительных запросов.