Elke organisatie moet haar regels aanpassen aan haar omgeving, maar bepaalde categorieën bieden vaak een relevant uitgangspunt:
- talrijke verbindingsproblemen
- Verbinding eindelijk tot stand gebracht na talloze mislukte pogingen
- ongebruikelijke bevoorrechte authenticatie
- een beheerdersaccount aanmaken
- wijziging van een bevoorrechte groep
- deactivering van een beveiligingsmechanisme
- ongebruikelijke uitvoering van PowerShell
- toegang krijgen tot een kritieke server vanaf een gebruikerswerkstation
- Ongebruikelijke VPN-activiteit
- verbinding vanuit een ongebruikelijke locatie
- enorme gegevensoverdracht
- communicatie met een indicator van compromis
- logverwijdering of onderbreking
- Ongebruikelijke activiteit bij back-ups.