Отличный разбор, именно в этом вся суть — не ждать шифровальщика, а ловить подозрительное поведение. Про parent process с lsass — важно, ведь обычный AV часто обращается легально, а на злоумышленника выдает именно сомнительный потомок. Корреляция событий — крутая тема, она реально спасает и помогает фильтровать шум. Главное — не запутаться в alert fatigue и постоянно обновлять исключения.