Как я приручил Wazuh: от сотен ложных срабатываний к рабочему набору правил

ну как минимум можно по дефолту оставить конфиг и понять что в корп. сети происходит) а потом уже все что Вы описали

Stealth Mode: 10 Bash-трюков для скрытого хакинга

не забываем про debugfs