A hosszabb jelenléti idő több lehetőséget ad a támadóknak a jogosultságkiterjesztésre, a laterális mozgásra, az adatok előkészítésére és a perzisztencia kiépítésére. Általában a legkorábbi megerősített tevékenység forenzikus bizonyítékából és a észlelési időbélyegekből becsülik, és incidensek közötti átlagként vagy mediánként közlik.
Legfontosabb pontok
Észlelési-egészségjelzésA csökkenő jelenléti idő jobb telemetriát, vadászatot és lefedettséget tükröz — nem egyszerűen több eszközt.
Eloszlás az átlag felettNéhány észrevétlen, hosszú behatolás torzítja az átlagokat; a medián és a tartomány igazabb képet ad.
Fontos korlátA jelenléti idő csak a végül felfedezett incidenseknél mérhető. A fel nem fedezett kompromittálódások ismeretlen, akár végtelen jelenléti idejűek — a közölt számok ezért mindig alulbecsülik a legrosszabb esetet.