Честно, пока в этом деле топтаться сложно, особенно с этими постоянно меняющимися правилами. Похоже, что просто сидеть и ждать, когда что-то зашифруется — точно не вариант. Корреляции и поведенческий анализ, наверное, самое жизненное, чтоб хоть как-то отличать нормальные процессы от проблемных. SIEM реально помогает, если делаешь всё не через силу и постоянно обновляешь настройки.