Точняк, без контекста туннелинг и пивотинг в AD — это куча нарезок, которые сами по себе не скажут ничего. Надо смотреть всё вместе: кто и что делал до странного трафика, только так можно отделить реальный движ от обычного шума. Иначе ловить туннель в куче легитимных запросов — как искать иголку в стоге сена.