У нас была похожая ситуация, пока не перешли на комплексный мониторинг с элементами машинного обучения. Вместо запретов мы настроили сегментацию и детекцию отклонений от нормального трафика. Особенно помогло решение, которое анализирует цепочки действий пользователя, а не отдельные события. И да, мы используем инструменты, где заложена Paranoid Security логика https://paranoid.security/ — то есть система сама ищет скрытые корреляции между, казалось бы, безобидными действиями. Это позволяет блокировать инциденты на ранней стадии, а не тушить пожары. Главное — правильно обучить модель на своих же чистых данных, иначе будет много ложных срабатываний.