Dłuższy czas obecności daje przeciwnikom więcej okazji do eskalacji uprawnień, ruchu bocznego, przygotowania danych i ustanowienia utrwalenia. Zwykle jest szacowany z dowodów kryminalistycznych najwcześniejszej potwierdzonej aktywności względem znaczników czasu wykrycia i raportowany jako średnia lub mediana między incydentami.
Najważniejsze punkty
Sygnał zdrowia detekcjiKurczący się czas obecności odzwierciedla lepszą telemetrię, aktywne wyszukiwanie zagrożeń i pokrycie — nie po prostu więcej narzędzi.
Rozkład ponad średniąKilka niewykrytych intruzji długiego ogona zniekształca średnie; mediana i zakres opowiadają prawdziwszą historię.
Istotne ograniczenieCzas obecności można mierzyć tylko dla incydentów ostatecznie znalezionych. Nieodkryte kompromitacje mają nieznane, potencjalnie nieskończone czasy obecności — więc raportowane liczby zawsze zaniżają najgorszy przypadek.