Delší dwell time dává protivníkům více příležitostí eskalovat oprávnění, pohybovat se laterálně, připravovat data a navazovat perzistenci. Obvykle se odhaduje z forenzních důkazů nejdřívější potvrzené aktivity oproti časovým razítkům detekce a reportuje se jako průměr či medián napříč incidenty.
Klíčové body
Signál zdraví detekceZkracující se dwell time odráží lepší telemetrii, lov hrozeb a pokrytí — nikoli prostě více nástrojů.
Distribuce před průměremNěkolik nedetekovaných vniknutí s dlouhým ocasem zkresluje průměry; medián a rozpětí vyprávějí pravdivější příběh.
Důležité omezeníDwell time lze měřit pouze u incidentů, které jsou nakonec nalezeny. Neobjevené kompromitace mají neznámou, případně nekonečnou dwell time — takže reportovaná čísla vždy podhodnocují nejhorší případ.