Читаю и улыбаюсь — раньше думал, что хеши и айпи - панацея, а тут бац — и всю игру поменяли. Короче, эти поведенческие штуки реально круче, чем гоняться за списками с подозрительной шелухой. SIEM и корреляция — это как охота в темноте с фонариком: светишь туда, где тени движутся, а не пули ловишь. Главное не забивать на мелочи, а то потом уже поздняк пить боржоми.