Une durée de présence plus longue donne aux adversaires davantage d'occasions d'élever leurs privilèges, de se déplacer latéralement, de préparer des données et d'établir une persistance. Elle est généralement estimée à partir des preuves forensiques de la première activité confirmée comparées aux horodatages de détection, et rapportée en moyenne ou en médiane sur les incidents.
Points clés
Signal de santé de la détectionUne durée de présence qui se réduit reflète une meilleure télémétrie, chasse et couverture — pas simplement plus d'outillage.
Distribution plutôt que moyenneQuelques intrusions longues non détectées faussent les moyennes ; la médiane et l'étendue racontent une histoire plus vraie.
Limite importanteLa durée de présence ne peut être mesurée que pour les incidents finalement découverts. Les compromissions non découvertes ont des durées de présence inconnues, potentiellement infinies — les chiffres rapportés sous-estiment donc toujours le pire des cas.