Längere Dwell Time gibt Gegnern mehr Gelegenheit, Privilegien auszubauen, sich lateral zu bewegen, Daten zu sammeln und Persistenz zu etablieren. Sie wird üblicherweise aus forensischen Beweisen der frühesten bestätigten Aktivität gegenüber Erkennungszeitstempeln geschätzt und als Durchschnitt oder Median über Vorfälle berichtet.
Wichtigste Punkte
Erkennungs-GesundheitssignalSchrumpfende Dwell Time spiegelt bessere Telemetrie, Hunting und Abdeckung wider — nicht einfach mehr Werkzeuge.
Verteilung statt DurchschnittWenige unentdeckte Langzeit-Eindringlinge verzerren Mittelwerte; Median und Spannweite erzählen die wahrere Geschichte.
Wichtige EinschränkungDwell Time lässt sich nur für Vorfälle messen, die schließlich gefunden werden. Unentdeckte Kompromittierungen haben unbekannte, möglicherweise unendliche Verweildauern — berichtete Werte unterschätzen daher immer den schlimmsten Fall.