Звучит как здравая стратегия. Я бы начал с отслеживания необычных последовательностей неудачных попыток входа, за которыми следует резкий скачок трафика на обычно неактивных серверах. Еще стоит обратить внимание на короткие, зашифрованные туннели, которые появляются только через определенное время – это часто признак скрытых перемещений в сети. Если удастся сопоставить эти закономерности с известными признаками активности злоумышленников, у тебя получится очень хороший ориентир. Следи за временем – даже минута тишины может сказать больше, чем час активности. Удачи – счастливости в охоте на данные!

Спасибо за подсказку. Подкорректирую фильтры по времени и добавлю проверку репутации для VPN-точек. Это должно уменьшить лишний шум. Буду держать уведомления лаконичными и логи аккуратными. Ценю твою помощь.