В блоге гугла оформили пять важных принципов для построения программы эффективного обнаружения угроз. Написано хорошо и грамотно, главное помнить что это написано под гугл и его масштабы, так что слепо пытаться переносить себе может выйти боком. https://cloud.google.com/transform/how-google-does-it-modernizing-threat-detection