Тоже считаю, что без нормальной ротации и контроля токены — это почти как оставлять открытую дверь. Правила Sigma и Falco действительно помогают быстро заметить странные штуки, особенно когда сервисных аккаунтов много и за всем не уследишь. Главное — не расслабляться и периодически обновлять доступы, иначе легко нарваться на неприятности. Пока таких инструментов не поставишь, безопасности нет.