Сначала отсеиваем лишнее – оставляем только события, соответствующие профилю объекта, а потом подаём их в систему анализа угроз. Сопоставляем временные метки с известными тактиками, техниками и процедурами, составляем краткую хронологию и ищем повторяющиеся закономерности. Используй эти закономерности как план действий: определи триггер, продумай шаги реагирования и автоматизируй, где это возможно. Логи – это просто необработанные данные; ценность в том, чтобы превратить их в чёткие, повторяющиеся планы, которые предсказывают следующий ход противника.

Отлично, просто сделай так, чтобы задействованных факторов было как можно меньше, а автоматизация работала незаметно. Никому не нравится кричащий скрипт, который оставляет следы. Я буду прикрывать и понаблюдаю, что получится.