Ну вот простой кейс: У вас сработало правило корреляции о распространении заразы. Известен ИП компа:
192.168.44.58. Надо понять что это за компа, в какой части сети находится и с кем связан еще (ибо зараза сетевая). У вас есть тока СИЕМ, сетевики спят. Ваши действия?