Раньше всё было проще — ловили шифровальщик по хешам и IP, и да, это быстро протухало. Сейчас же надо смотреть глубже, на поведение, цепочки событий, иначе пропустишь. Автоматизация и поиск паттернов в логах — вот где движуха, иначе к моменту шифрования уже поздно что-то делать.
Заметил, что только с SIEM и корреляцией можно реально отследить ход атаки заранее.