Спросите большинство инженеров по обнаружению угроз, что делает SOC, и они ответят: он находит скомпрометированные машины.Это неправильный вопрос. Злоумышленники перестали считать компрометацию машин основной целью много лет назад — машины лишь место, где выполняются идентификационные данные и отношения доверия. Украденный токен сессии, федеративное принятие роли, чрезмерно расширенная учетная запись службы: ни одно из этих событий не является "скомпрометированной машиной". Это отношения доверия, тихо выполняющие именно то, для чего они были настроены, от имени того, кто не должен ими обладать.