Ребята, а как вы обычно узнаёте, что SIEM сработала на какую-то вашу активность? Просто смотрите в логи или настройку корреляций? Мне кажется, самый сложный момент — не только обойти EDR, а именно не засветиться на уровне уже аналитиков, там столько всего идет. И вообще, delays в тайминг атаках — реально помогает? Или современные EDR всё равно это быстро замечают?