Честно, тема облачных C2 – это просто боль для детекции. Когда весь трафик легитимный и идёт через Microsoft или Google, обычные блокировки бесполезны, а умные правила сильно нагрузят систему. Похоже, лучше делать упор на анализ поведения приложений и частоту запросов, чем пытаться поймать конкретный IP или домен. Это реально новый уровень, где классические методы уже не работают.