Точно, с туннелями и pivoting в AD без контекста быстро запутаешься. Просто смотреть на DNS или HTTPS отдельными кусками — мало толку, надо видеть весь маршрут активности. Вот тогда реально можно разделить шум от реальной хитрой движухи.