siem ставить чем раньше, тем лучше. не обязательно нчинать с платного/дорогущего, не обязательно начинать с алертов и дежурных

osquery нифига не стоит

вопрос из разряда "когда нам графики с серверов начинать рисовать"