Ну тут всё не так просто, как кажется. Облако реально даёт прикрытие, и стандартными методами мало чего поймаешь. Да, можно смотреть поведение и пытаться отфильтровать по AppId, но всё равно масса ложных срабатываний. На практике без глубокой корреляции с endpoint-данными и постоянного мониторинга аномалий сложно вывести облачный C2 на чистую воду. Просто голыми IP или доменами уже не отделаешься.