Один и тот же админ может спокойно себе запилить левый акк с правами доменного админа и доступом внутрь по ВПН

сделать то он сделает. но его тут же хлопнут на этом деле

Но соглашусь что в кровавых энтерпрайзах с этим проще так как разделение по зонам ответственности

Ну дык что бы найти нужно логи обрабатывать с систем, инцидентную базу прокачивать, умных операторов иметь, заготовленные плейбуки иметь для оперативного реагирования

Без всей этой обвязки - грош цена безопасности, потому что контроль не осуществить от слова совсем

ну так а зачем еще безопасников иметь? :)

Ну дык, в идеальной сферической компании это конечно все есть, в 90% компаний России уровнем ниже чем кровавый Энтерпрайз - есть дефицит бюджета

Из за которого ты изголяешься строя самые невероятные конструкции из опенсорца + решения которые пишешь сам

Если кодить умеешь конечно

zabbix / powershell / nmap - закроют большую часть потребностей. если компания на винде в основном сидит. под linux тоже писали автоматизацию на чем то вроде autoit (точно не вспомню сейчас)

Анализ логов в заббикс и кросскорреляция там же, серьезно?

я сказал большую

для анализа graylog есть например

Только в опенсорсном варианте он в корреляцию тоже не умеет

Плавали, знаем

OSSIM был кстати неплох

Но написание правил внутрь - вообще не радовало

Ну большую потребностей не закроет - все равно понадобится оператор который будет сложные инциденты искать или если решили пойти по пути ЕЛК - ещё и просто маркеры глазами отсматривать, плюсом успевать реагировать на инциденты, помимо этого надо успевать операционку, согласования и хорошо если компания решила на DLP все таки разориться норм хостовую, знаю ребят которые вручную корп ящики смотрели когда на маркетинг их один вендор развёл и решение работало в стиле «не вижу почтовых клиентов на ПК», а почту смотреть надо

И добавь сюда не очень высокую квалификацию персонала, к сожалению, не везде админы и безопасники - реально технологически крутые ребята

Получается что либо упор на максимальную автоматизацию и самописные решения как ты описал, либо те же яйца только в профиль но с вкраплениями покупных продуктов. При такой загрузке 2-3 ИБшникам (хорошо если не один) банально некогда заниматься развитием инцидентной базы