jacobideji/aiiroverlayAI IR Overlay™ — практическая структура реагирования на инциденты для AI-агентов в производственной среде. Построена на основе NIST SP 800-61 r3, сопоставлена с NIST AI RMF, NIST CSF 2.0, OWASP Top 10 for Agentic Applications 2026, ISO/IEC 42001, EU AI Act.
Почему оверлей, а не замена. Тезис.
Часть фреймворка AI IR Overlay™. Полную карту репозитория см. в CONTENT_MAP.md.
Текущий релиз: v0.35.0 · 2026-07-09 · CHANGELOG
Практический базовый уровень реагирования на инциденты для AI-агентов в продакшене. Адаптируйте и критикуйте свободно.
Традиционное реагирование на инциденты (кодифицированное в NIST SP 800-61 r3, который заменил r2 в апреле 2025 года) строилось вокруг векторов несанкционированного доступа: вредоносное ПО, эксплойты, кража учётных данных, боковое перемещение. AI-агенты меняют характер отказа.
Инциденты с участием AI часто проявляются через каналы:
Когда действующее лицо авторизовано, вопрос смещается с «кто проник?» на «к чему оно могло получить доступ и что оно сделало?». Ключевые улики теперь находятся в промптах, вызовах инструментов, трассировках поиска и состоянии конфигурации. Не на конечных точках.
Основные механизмы эффективного реагирования на инциденты остаются неизменными:
AI не переписывает правила эффективного IR. Он меняет карту.
AI IR Overlay операционализирует обязанности развёртывающей стороны для AI-систем в продакшене. Развёртывающая сторона — это организация, которая использует AI-систему в собственных операциях под собственным надзором (согласно статье 3 Закона ЕС об ИИ). Этот фреймворк предназначен для команды безопасности, реагирующей на инциденты с агентами, которые запускает организация развёртывающей стороны.
Вне области применения:
Вендорские копилоты, которые разворачивает организация, входят в область применения для развёртывающей стороны (со стороны заказчика). Обязанности поставщика вендора здесь не рассматриваются.
AI IR Overlay добавляет четыре элемента управления с учётом агентов (Минимально жизнеспособный оверлей, или MVO) поверх вашей существующей программы IR.
Примечание: Фазы, показанные ниже, согласованы с NIST SP 800-61 r3 (апрель 2025 года), развёрнутые в семь операционно-различных колонок согласно разделу 1
MATRIX.md. NIST SP 800-61 r3 перестраивает реагирование на инциденты вокруг функций NIST CSF 2.0 (Govern, Identify, Protect, Detect, Respond, Recover); см. перекрёстную таблицу AI IR Overlay к CSF 2.0 вcrosswalks/nist-csf-2.mdдля сопоставления на уровне функций.```text ┌───────────────────────────────────────────────────────────────────────┐ │ AI IR Overlay Response Flow (NIST SP 800-61 r3, unpacked) │ │ │ │ Preparation → Detection → Triage → Containment → Evidence → │ │ Recovery → Closure │ └───────────────────────────────────────────────────────────────────────┘ │ ▼ ┌───────────────────────────────────────────────────────────────────────┐ │ AI IR Overlay · MVO Controls (4) │ │ │ │ 1. INVENTORY · Agents · Identities · Tools · Write Targets │ │ 2. SAFE MODES · Kill-Switch Ladder (M0–M5; 6 M3 + 2 M4 variants) │ │ 3. EVIDENCE · Minimum AI Evidence Set (Types A–F) │ │ 4. CONTROLLED · Staged, validated re-enablement │ │ RE-ENABLE │ └───────────────────────────────────────────────────────────────────────┘
Для полной матрицы соответствия «фаза-контроль» см. раздел 1 в [`MATRIX.md`](https://github.com/jacobideji/aiiroverlay/blob/main/MATRIX.md).
## Порядок чтения
**Если вы прямо сейчас реагируете на инцидент с ИИ-агентом**, начните с [`RESPONSE-START.md`](https://github.com/jacobideji/aiiroverlay/blob/main/RESPONSE-START.md) — там описан маршрут навигации по четырём файлам, который проведёт вас от страницы в 3 часа ночи до защищаемой контрольной точки через 60 минут.
**Новичок? Начните с [QUICKSTART.md](https://github.com/jacobideji/aiiroverlay/blob/main/QUICKSTART.md)** — стандартный путь внедрения за 30 дней. Для стартапов и небольших команд безопасности (5 или менее человек, ограниченный контроль над платформой) [QUICKSTART-startup.md](https://github.com/jacobideji/aiiroverlay/blob/main/QUICKSTART-startup.md) — это 4-недельный минимально жизнеспособный путь, нацеленный на Уровень зрелости 2. Для проработанного сквозного примера см. [`examples/incident-walkthrough.md`](https://github.com/jacobideji/aiiroverlay/blob/main/examples/incident-walkthrough.md). Для рабочих примеров кода контрактов API фреймворка см. [`reference-impls/`](https://github.com/jacobideji/aiiroverlay/blob/main/reference-impls).
Полный концептуальный порядок чтения: пункты с 1 по 8 — ядро, пункты с 9 по 15 — рабочие артефакты.
Для самодостаточного табличного справочника (матричное представление фреймворка: фазы, лестница аварийного отключения, типы доказательств, метрики, контроли MVO, уровни зрелости, индекс плейбуков, таблица соответствия стандартам) см. [`MATRIX.md`](https://github.com/jacobideji/aiiroverlay/blob/main/MATRIX.md).
1. **Минимально жизнеспособный оверлей.** Четыре контроля в деталях: [`framework/01-minimum-viable-overlay.md`](https://github.com/jacobideji/aiiroverlay/blob/main/framework/01-minimum-viable-overlay.md)
2. **Ментальная модель.** Четыре предложения, управляющие каждым решением: [`framework/02-mental-model.md`](https://github.com/jacobideji/aiiroverlay/blob/main/framework/02-mental-model.md)
3. **Дорожная карта зрелости.** Где находится ваша программа и как её развивать: [`framework/03-maturity-roadmap.md`](https://github.com/jacobideji/aiiroverlay/blob/main/framework/03-maturity-roadmap.md)
4. **Существенность и раскрытие информации.** Протокол созыва, который определяет, какие регуляторные часы применяются и когда они запускаются: [`framework/04-materiality-and-disclosure.md`](https://github.com/jacobideji/aiiroverlay/blob/main/framework/04-materiality-and-disclosure.md). Канонический триггер созыва (по режиму: M3+; по условию: данные клиентов, внешние получатели, финансовые действия, регулируемые данные, влияние на доверие клиентов, общественное внимание), на который ссылается каждый плейбук, который может созвать совещание.
5. **Шесть вопросов триажа.** Дисциплина первого часа: [`triage/six-questions.md`](https://github.com/jacobideji/aiiroverlay/blob/main/triage/six-questions.md). Печатная карточка: [`triage/six-questions-card.md`](https://github.com/jacobideji/aiiroverlay/blob/main/triage/six-questions-card.md).
6. **Режимы аварийного отключения.** Лестница сдерживания: [`kill-switches/overview.md`](https://github.com/jacobideji/aiiroverlay/blob/main/kill-switches/overview.md)
7. **Минимальный набор доказательств.** Что сохранять и в каком порядке: [`evidence/minimum-evidence-set.md`](https://github.com/jacobideji/aiiroverlay/blob/main/evidence/minimum-evidence-set.md)
8. **Сквозной проработанный пример.** Синтетический, но конкретный инцидент, показывающий фреймворк как связную систему (инвентаризация → безопасные режимы → доказательства → решение о существенности → контролируемое повторное включение → пост-инцидентное усиление): [`examples/incident-walkthrough.md`](https://github.com/jacobideji/aiiroverlay/blob/main/examples/incident-walkthrough.md). Прочитайте после пунктов 1–7, чтобы увидеть, как контроли передают друг другу эстафету в условиях операционного давления.
9. **Шаблоны.** [`templates/ai-bom.yaml`](https://github.com/jacobideji/aiiroverlay/blob/main/templates/ai-bom.yaml) (AI Bill of Materials для MVO-1 Инвентаризация) · [`templates/agent-privilege-matrix.csv`](https://github.com/jacobideji/aiiroverlay/blob/main/templates/agent-privilege-matrix.csv) (матрица уровней инструментов для MVO-2 Режим M3)
10. **Таблицы соответствия.** [`crosswalks/nist-ai-rmf.md`](https://github.com/jacobideji/aiiroverlay/blob/main/crosswalks/nist-ai-rmf.md) (NIST AI RMF 1.0) · [`crosswalks/nist-csf-2.md`](https://github.com/jacobideji/aiiroverlay/blob/main/crosswalks/nist-csf-2.md) (NIST CSF 2.0 и SP 800-61 r3) · [`crosswalks/owasp-agentic-top-10.md`](https://github.com/jacobideji/aiiroverlay/blob/main/crosswalks/owasp-agentic-top-10.md) (OWASP Agentic Top 10 2026)
11. **Плейбуки.** Все двадцать четыре плейбука поставлены (этап наполнения контентом завершён), организованы по дуге, описанной в [CONTENT_MAP.md](https://github.com/jacobideji/aiiroverlay/blob/main/CONTENT_MAP.md):
- **Фундамент:** [`playbooks/02-evidence-lives-in-new-places.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/02-evidence-lives-in-new-places.md) (концептуально-фундаментальный плейбук; Три реальности ИИ-доказательств: действующее лицо — это рабочий процесс, а не рабочая станция; полезная нагрузка может быть языком, а не вредоносным ПО; доказательства хрупки; читать первым новичкам и перечитывать после любого инцидента, в котором цепочка доказательств дала сбой), [`playbooks/01-agent-as-privileged-identity.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/01-agent-as-privileged-identity.md) (ключевой плейбук реагирования; каждый последующий плейбук строится на призме привилегированной идентичности).
- **Предотвращение:** [`playbooks/04-tool-design-is-containment.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/04-tool-design-is-containment.md) (пред-инцидентное тирирование инструментов T0/T1/T2, которое делает Режим M3 аварийного отключения хирургическим), [`playbooks/19-build-vs-buy.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/19-build-vs-buy.md) (дисциплина на этапе закупок: 60-минутный тест готовности Proof of Readiness, восемь критических вопросов закупки, матрица решений Build vs Buy и пост-закупочное усиление, которое превращает пробелы в возможностях платформы в контрактные обязательства или обязательства по разработке на стороне клиента).
- **Завершение:** [`playbooks/18-post-incident-hardening.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/18-post-incident-hardening.md) (SLA усиления на 5 рабочих дней, который превращает уроки в постоянные защитные барьеры).
- **Управление:** [`playbooks/24-board-ready-scorecard.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/24-board-ready-scorecard.md) (скоркарта для руководства по четырём доменам: Сдерживание, Доказательства, Управление, Восстановление), [`playbooks/17-communication-techniques.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/17-communication-techniques.md) (дисциплина кризисной коммуникации: SLA первого обновления за 30 минут, таксономия трёх статусов Подтверждено/Предположительно/Проверяется, стандарт обновления из четырёх элементов, матрица коммуникации с заинтересованными сторонами по классам внутреннее руководство / владелец бизнеса / конечный пользователь / клиент / регулятор / совет директоров / пресса / сотрудники, библиотека шаблонов и дисциплина ответственного переформулирования, которая превращает «это сделал ИИ» в язык системной подотчётности), [`playbooks/05-executive-decision-making.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/05-executive-decision-making.md) (дисциплина принятия решений руководством: Executive Decision Packet AI Edition из пяти разделов, включая профиль возможностей агента и сводку происхождения, фреймворк влияния CIA+T, который поднимает Доверие до уровня, равного Конфиденциальности, Целостности и Доступности, 4-часовой ритм, горизонты планирования 4/24/72 часа и дисциплина квитанций об одобрении, которая предотвращает вырождение человеческого одобрения в формальное штампование).
- **Измерение и глубина:** [`playbooks/13-six-metrics.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/13-six-metrics.md) (шесть метрик), [`playbooks/14-testing-for-agent-failure-modes.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/14-testing-for-agent-failure-modes.md) (пред-производственное тестирование аварийного отключения), [`playbooks/16-training-your-team.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/16-training-your-team.md) (плейбук дисциплины обучения, который превращает документированные возможности фреймворка в операционную мышечную память через 30-минутную микро-тренировку, четыре ключевых действия, две постоянные роли владельца безопасного режима и владельца доказательств, учебную программу из шести пунктов и ежемесячный ритм с измеримыми целями обучения; образует пару тестирование-и-обучение с PB14), [`playbooks/03-rag-knowledge-base-forensics.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/03-rag-knowledge-base-forensics.md) (90-минутная последовательность Freeze-the-World для инцидентов с поиском), [`playbooks/22-model-policy-drift.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/22-model-policy-drift.md) (криминалистика событий изменений для обновлений моделей, правок промптов, настройки политик, изменений ретривера и перестроек индекса; вводит вариант сдерживания M3-Drift, пост-измененческий снимок конфигурации, журнал событий конвейера изменений, пакет Drift Canary и многоуровневую последовательность отката; образует пару пред-производственное тестирование / непрерывный мониторинг с PB14), [`playbooks/15-records-retention.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/15-records-retention.md) (плейбук дисциплины доказательств: углублённое описание жизненного цикла таксономии доказательств A-F по захвату, хранению, цепочке хранения, признакам фальсификации и уничтожению; вводит двухуровневый стандарт хранения, механизм юридического удержания, запускаемый инцидентом, и ежеквартальный тест реконструируемости, который эмпирически проверяет утверждения фреймворка о доказательствах на 30, 60 и 90 дней), [`playbooks/23-logging-privacy.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/23-logging-privacy.md) (плейбук дисциплины конфиденциальности: как собирать ИИ-доказательства без чрезмерного сбора регулируемого контента; вводит матрицу многостороннего управления по направлениям Безопасность, Конфиденциальность, Юриспруденция и Инженерия, трёхуровневую модель логирования с Уровнем 1 метаданные + Уровень 2 выборочная полезная нагрузка + Уровень 3 эскалация в рамках юридического удержания, стандарт Forensically Useful и дисциплину редактирования и токенизации; образует триаду захват / хранение / подтверждение с PB15).
- **Операции:** [`playbooks/20-maturity-roadmap.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/20-maturity-roadmap.md) (операционный взгляд на дорожную карту зрелости), [`playbooks/07-secrets-and-tokens.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/07-secrets-and-tokens.md) (дисциплина учётных данных), [`playbooks/11-monitoring-detection.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/11-monitoring-detection.md) (три семейства сигналов для авторизованного злоупотребления), [`playbooks/06-prompt-injection-workflow.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/06-prompt-injection-workflow.md) (инъекция в рабочий процесс: вредоносные инструкции, скрытые в тикетах, письмах, веб-страницах и документах, которые читает агент; архитектурная защита вместо инженерии промптов), [`playbooks/09-output-leakage.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/09-output-leakage.md) (утечка без взлома: раскрытие данных через рутинные выходные данные ИИ; вариант сдерживания M3-Output; DLP на уровне выходных данных и классификация каналов как архитектурная защита; завершает триаду покрытия вход → контекст → выход вместе с PB06 и PB03), [`playbooks/08-multi-agent-blast-radius.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/08-multi-agent-blast-radius.md) (многоагентные топологии, сдерживание в первую очередь через оркестратор), [`playbooks/10-vendor-copilots.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/10-vendor-copilots.md) (вендорские копилоты: контролируемая клиентом граница идентичности, контрактные SLA на доказательства и сдерживание, ежеквартальная вендорская тренировка доказательств; вариант сдерживания M3-Vendor), [`playbooks/12-insider-threat-3.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/12-insider-threat-3.md) (Insider Threat 3.0, триада возможности-намерения-влияния, совместное взаимодействие HR/Юриспруденции), [`playbooks/21-shadow-ai.md`](https://github.com/jacobideji/aiiroverlay/blob/main/playbooks/21-shadow-ai.md) (обнаружение Shadow AI: 60-минутный снимок обнаружения, 24-часовой стандарт приёма теневого агента, сдерживание на уровне идентичности для немодифицируемых сред выполнения, путь решений миграция/редизайн/вывод из эксплуатации и усиление по четырём границам, включая управляемый путь интеграции, который предотвращает превращение следующего теневого агента в теневого).
Дополнительные плейбуки поставляются в составе MINOR-релизов. Полный график релизов см. в [CHANGELOG.md](https://github.com/jacobideji/aiiroverlay/blob/main/CHANGELOG.md).
12. **Схемы.** Машиночитаемые контракты для CI-валидации: [`schemas/ai-bom.schema.json`](https://github.com/jacobideji/aiiroverlay/blob/main/schemas/ai-bom.schema.json) (валидатор AI-BOM) · [`schemas/privilege-matrix.schema.json`](https://github.com/jacobideji/aiiroverlay/blob/main/schemas/privilege-matrix.schema.json) (валидатор строк матрицы привилегий) · [`schemas/credential-event.schema.json`](https://github.com/jacobideji/aiiroverlay/blob/main/schemas/credential-event.schema.json) (валидатор журнала событий учётных данных PB07) · [`schemas/kill-switch-api.md`](https://github.com/jacobideji/aiiroverlay/blob/main/schemas/kill-switch-api.md) (контракт API активации режимов M0–M5) · [`schemas/evidence-export.spec.md`](https://github.com/jacobideji/aiiroverlay/blob/main/schemas/evidence-export.spec.md) (контракт скрипта экспорта доказательств типов A–F).
13. **Эталонный валидатор.** [`scripts/validate.py`](https://github.com/jacobideji/aiiroverlay/blob/main/scripts/validate.py) (Python 3.10+, jsonschema, pyyaml). Валидирует AI-BOM YAML и матрицу привилегий CSV по JSON-схемам; v0.26.0 добавляет условную по целевой зрелости валидацию аварийного отключения, а также проверки устаревания операционной актуальности для `last_reviewed` (окно 7 дней) и `kill_switches.mX.tested_at` (окно 90 дней). Запуск с `--strict` повышает устаревание до ошибок CI. GitHub Action в [`.github/workflows/validate-templates.yml`](https://github.com/jacobideji/aiiroverlay/blob/main/.github/workflows/validate-templates.yml) запускает валидатор при каждом pull request, затрагивающем `templates/`, `schemas/` или сам скрипт.
14. **Эталонные реализации.** [`reference-impls/evidence_exporter/`](https://github.com/jacobideji/aiiroverlay/blob/main/reference-impls/evidence_exporter) — Python CLI, реализующий [контракт скрипта экспорта доказательств](https://github.com/jacobideji/aiiroverlay/blob/main/schemas/evidence-export.spec.md) для типов A–F с дисциплиной манифеста, хэшами целостности, параллельным экспортом и событиями телеметрии. [`reference-impls/kill_switch_demo/`](https://github.com/jacobideji/aiiroverlay/blob/main/reference-impls/kill_switch_demo) демонстрирует [контракт API аварийного отключения](https://github.com/jacobideji/aiiroverlay/blob/main/schemas/kill-switch-api.md) с M0/M1/M2/M3/M4 против синтетического реестра инструментов агента, включая обеспечение разделения обязанностей и параметр области M3. Обе реализации используют только стандартную библиотеку Python 3.10+; обе работают сквозным образом без необходимости в учётных записях вендоров.
15. **Матрица фреймворка.** [`MATRIX.md`](https://github.com/jacobideji/aiiroverlay/blob/main/MATRIX.md): самодостаточный табличный справочник по фреймворку на версии v0.33.0. Девять разделов, охватывающих матрицу фаз реагирования (от подготовки до завершения), лестницу аварийного отключения со всеми шестью вариантами M3, минимальный набор доказательств с указателями на углублённое чтение, шесть метрик, четыре контроля MVO, четыре уровня зрелости, краткий справочник по 24 плейбукам, сводку таблицы соответствия стандартам и легенду для быстрого чтения. Калиброван для брифингов для совета директоров, онбординга, аудиторских проверок и одностраничных справочников. Каждая ячейка ведёт к конкретному файлу в репозитории.
## Происхождение
AI IR Overlay был разработан в рамках серии статей в LinkedIn-рассылке *AI IR Overlay* (выпуски с 1 по 24, 2025–2026), автором которой является Jacob Ideji, как синтез NIST AI RMF 1.0, NIST CSF 2.0, NIST SP 800-61 r3, OWASP Top 10 for Agentic Applications 2026, обязательств развёртывающих организаций по EU AI Act и опыта автора в реагировании на инциденты и безопасности ИИ. Фреймворк ещё не был развёрнут в документированном производственном ИИ-инциденте; принявшие его организации, использующие его в реальном инциденте, приглашаются к подаче анонимизированных тематических исследований через [Discussions](https://github.com/jacobideji/aiiroverlay/discussions). Каждый выпуск рассылки соответствует одному плейбуку в полном фреймворке. Индекс «выпуск-файл» см. в [CONTENT_MAP.md](https://github.com/jacobideji/aiiroverlay/blob/main/CONTENT_MAP.md).
## Связанные работы
- NIST SP 800-61 r3: *Incident Response Recommendations and Considerations for Cybersecurity Risk Management*, Community Profile CSF 2.0 (апрель 2025, заменяет r2)
- NIST AI Risk Management Framework (AI RMF 1.0)
- OWASP Top 10 for LLM Applications (2025.1)
- OWASP Top 10 for Agentic Applications 2026 (ASI01–ASI10, проект OWASP GenAI Security)
- ISO/IEC 27035 (многочастная серия): *Information security incident management* (общая дисциплина ИР, которую AI IR Overlay расширяет для ИИ-агентов; упоминается как базовая дисциплина в `framework/01-minimum-viable-overlay.md`)
- ISO/IEC 42001:2023: *Information technology, Artificial intelligence, Management system* (AIMS)
- EU AI Act (Регламент 2024/1689), обязательства для развёртывающих организаций по статье 26
- MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems): смежный предшествующий опыт по моделированию угроз ИИ. В настоящее время не отражён в таблицах соответствия; таблица соответствия ATLAS приветствуется как вклад сообщества
## Акронимы
- **AI-BOM**: AI Bill of Materials
- **ASI**: Agentic Security Initiative (OWASP)
- **CCPA**: California Consumer Privacy Act
- **CSF**: (NIST) Cybersecurity Framework
- **DFS**: (New York State) Department of Financial Services
- **DLP**: Data Loss Prevention
- **EDR**: Endpoint Detection and Response
- **GDPR**: General Data Protection Regulation (EU)
- **HIPAA**: Health Insurance Portability and Accountability Act
- **IC**: Incident Commander
- **IR**: Incident Response
- **MCP**: Model Context Protocol
- **MVO**: Minimum Viable Overlay
- **PAM**: Privileged Access Management
- **PHI**: Protected Health Information
- **PII**: Personally Identifiable Information
- **RAG**: Retrieval-Augmented Generation
- **RMF**: (NIST AI) Risk Management Framework
- **SIEM**: Security Information and Event Management
- **SLA**: Service Level Agreement
- **SOC**: Security Operations Center *(отличается от SOC 2, стандарта аудита AICPA)*
- **TTA**: Time-to-Activate
- **TTE**: Time-to-Evidence
- **TTSM**: Time-to-Safe-Mode
- **UEBA**: User and Entity Behavior Analytics