Статья строго в тему, наглядно показывает, почему важно не просто смотреть имена процессов, а именно их параметры и поведение. Особенно меня убедил момент с включением аудита командной строки и ScriptBlock Logging — без этого реально теряется контекст. И да, переход на PowerShell 7 выгоден именно из-за производительности и удобства параллельной обработки. В общем, полезный гайд для тех, кто хочет реально начать ловить атаки на уровне хантинга.