Вы не отслеживаете ключевые аномалии (DNS, зашифрованный трафик, LOLBins), не строите таймлайн атаки, не проводите проактивный хантинг. Команда не тренируется на реальных сценариях. При реальной APT-атаке вы, скорее всего, даже не узнаете о вторжении, пока не будет поздно.
Риск для бизнеса: Атака останется незамеченной неделями. Ущерб — кража данных, шифрование, остановка бизнеса на дни и недели.
Что делать: 
Быстрые шаги (1–2 недели):

• Включить базовое логирование;
• Настроить 5–10 базовых детектов (подозрительные PowerShell/LOLBins, аномальные логины);
• Начать строить таймлайн инцидента хотя бы вручную (Excel или SIEM).

Среднесрочно (1–2 месяца):

• Ввести регулярный разбор инцидентов (post-incident review);
• Запустить базовый threat hunting (1 гипотеза в неделю);
• Провести первые учебные сценарии (кража учетных данных, простейший C2)
• Начать тренировки на Standoff Defend 

Standoff Defend — онлайн-полигон с эмуляцией 15 APT-группировок и покрытием до 70% тактик MITRE ATT&CK. Ваша команда начнет с простых сценариев, освоит базовые техники обнаружения и расследования, научится отличать реальную атаку от ложных срабатываний.

Базовые механизмы обнаружения и расследования есть, но работают несистемно. Где-то вы молодцы, где-то есть пробелы. Команда тренируется, но эпизодически. Сложные APT-атаки могут пройти незамеченными, а расследование займет часы, а не минуты.
Риск для бизнеса: Сложные APT-атаки могут остаться незамеченными. Время расследования — часы, что может быть критично для остановки распространения атаки.
Что делать: 
Быстрые шаги (1–2 недели):

• Описать набор ключевых сценариев атак;
• Ввести плейбуки для типовых инцидентов;
• Обогатить корреляцию для областей identity, endpoint, network.

Среднесрочно (1–2 месяца):

• Проверять детекты через эмуляцию атак;
• Начать измерять MTTR, время триажа, покрытие MITRE ATT&CK.
• Запустить регулярные тренировки на Standoff Defend 

Standoff Defend — онлайн-полигон с эмуляцией 15 APT-групп и покрытием до 70% тактик MITRE ATT&CK. Ваша команда перейдет от эпизодических тренировок к регулярной отработке. Углубит навыки в проблемных зонах: корреляция логов, построение таймлайнов, выявление credential abuse.

У вас есть системное обнаружение, расследование, проактивный хантинг и регулярная практика. Команда готова к большинству APT-атак.
Риск для бизнеса: Минимальный. Но угрозы эволюционируют, и то, что работало вчера, может не сработать завтра.
Что делать: 

• Усложнять сценарии атак;
• Автоматизировать триаж и реагирование
• Постоянно валидировать детекты (BAS / эмуляция атак)
• Регулярно тренироваться на самых актуальных сценариях атак на Standoff Defend 

Standoff Defend — онлайн-полигон с эмуляцией 15 APT-групп и покрытием до 70% тактик MITRE ATT&CK. Даже лучшим командам нужна практика. Наши сценарии обновляются по мере появления новых техник атак. Держите команду в тонусе, тренируйтесь на сложных кейсах и будьте на шаг впереди.