Раньше просто помечали файлы и айпи, теперь с этим почти нельзя работать — всё быстро меняется. Сейчас прикольно смотреть, как программы и процессы друг с другом взаимодействуют, а не ждать, пока уже всё зашифруют. SIEM с правилами вроде как фонарик в темноте, только надо не устать настроить и постоянно освежать списки.