Смотри, первый принцип – не считать ни один тактический ход исключением. Я прописываю каждый паттерн, будь то классика фишинга или новейшая эксплуатация нулевого дня, и сохраняю всё это в одном наборе правил. Потом запускаю перекрестную проверку по исторической базе данных военных тактик – представь себе, как будто пересматриваешь старые стратегии осады. Если новая угроза похожа на прошлую атаку, система ставит флаг аудита и заставляет человека сначала её проверить, прежде чем запускать автоматический ответ. Короче говоря, относись к каждому ухищрению как к простому элементу данных, храни логи без изменений и не позволяй старым схемам проскальзывать, просто потому что они кажутся знакомыми.