# Qu'est-ce que la durée de présence ?
> La durée de présence (dwell time) est le temps qu'un attaquant passe à l'intérieur d'un environnement avant d'être détecté — l'intervalle entre la compromission initiale et la découverte.
- URL canonique: https://yellowcube.eu/fr/glossary/dwell-time/
- Éditeur: Yellow Cube
- Langue: fr
- Contact: hello@yellowcube.eu
## Contenu
Une durée de présence plus longue donne aux adversaires davantage d'occasions d'élever leurs privilèges, de se déplacer latéralement, de préparer des données et d'établir une persistance. Elle est généralement estimée à partir des preuves forensiques de la première activité confirmée comparées aux horodatages de détection, et rapportée en moyenne ou en médiane sur les incidents.
### Points clés
- **Signal de santé de la détection:** Une durée de présence qui se réduit reflète une meilleure télémétrie, chasse et couverture — pas simplement plus d'outillage.
- **Distribution plutôt que moyenne:** Quelques intrusions longues non détectées faussent les moyennes ; la médiane et l'étendue racontent une histoire plus vraie.
- **Limite importante:** La durée de présence ne peut être mesurée que pour les incidents finalement découverts. Les compromissions non découvertes ont des durées de présence inconnues, potentiellement infinies — les chiffres rapportés sous-estiment donc toujours le pire des cas.
### Termes associés
[Durée moyenne de détection (MTTD)]() · [Chasse aux menaces]() · [Réponse aux incidents (IR)]() · [Mouvement latéral]() · [Télémétrie de sécurité]()
### Sources
[NIST SP 800-61 Rev. 3, Incident Response Recommendations and Considerations](https://csrc.nist.gov/pubs/sp/800/61/r3/final) · [MITRE ATT&CK](https://attack.mitre.org/)
## Attribution et portée
Cette version Markdown est générée à partir des mêmes contenus approuvés que la page HTML canonique. Utilisez l’URL canonique pour toute citation.