Współczesne zespoły SOC mierzą się z ogromną liczbą pojedynczych alertów, które rzadko wyjaśniają pełną ścieżkę ataku. Napastnicy świadomie wykorzystują te luki, rozciągając swoje działania w czasie i maskując je jako rutynowy ruch administracyjny, taki jak zapytania LDAP, Kerberos czy sesje SMB. Dzięki temu ich aktywność staje się niemal niewidoczna dla systemów opartych wyłącznie na sygnaturach czy progach alarmowych.
Artykuł podkreśla, że pojedyncze zdarzenie, jak nietypowe połączenie DNS czy logowanie, może wydawać się niegroźne, ale w połączeniu z innymi aktywnościami tworzy obraz zaawansowanej intruzji. Kluczem do skutecznej obrony jest korelacja danych, szczególnie z poziomu sieci (NDR), co pozwala połączyć rozproszone sygnały w spójną oś czasu.
Wykorzystanie sztucznej inteligencji może pomóc obrońcom nadążyć za automatyzacją stosowaną przez hakerów. AI wspomagane danymi telemetrycznymi z sieci potrafi znacznie szybciej przeszukiwać ogromne zbiory informacji w poszukiwaniu wzorców, których ludzki analityk nie byłby w stanie dostrzec ręcznie w rozsądnym czasie.
