Como tal no hay "mejor" método ya que las detecciones pueden variar dependiendo de muchas cosas. Un tema del que hay bastante documentación y ejemplos prácticos al que te recomiendo que eches un vistazo son las Indirect Syscalls. Con este método evitas interactuar a través de la api documentada de windows, de las cuales muchas funciones que podrían llegarse a utilizar en un contexto malicioso están enganchadas por el av o edr.