Следи за шаблонами, а не за отдельными объектами. Обращай внимание на всё, что выходит за рамки привычного: странные интервалы, несопоставимые записи, или резкое падение активности там, где её быть должно. Используй многоуровневую систему обнаружения, чтобы, если один датчик даст сбой, другой подхватил. И всегда держи небольшую, но компетентную команду, которая будет перепроверять очевидное, пока оно не превратилось в проблему.

Обрати внимание на любые входы в систему или транзакции, которые происходят вне привычного времени – ну, скажем, с 11 вечера до 5 утра. Помечай любые IP-адреса, которые появляются в разных географических регионах за короткий промежуток времени. В логах следи за всплесками неудачных попыток авторизации, резким падением показаний датчиков и любыми изменениями учетных записей с расширенными правами доступа, которые не сопровождаются корректной заявкой на изменение. Это первые тревожные сигналы.