Dlhší dwell time dáva útočníkom viac príležitosti eskalovať oprávnenia, pohybovať sa laterálne, pripravovať údaje a vytvárať perzistenciu. Zvyčajne sa odhaduje z forenzných dôkazov najskoršej potvrdenej aktivity voči časovým pečiatkam detekcie a reportuje sa ako priemer alebo medián cez incidenty.
Kľúčové body
Signál zdravia detekcieKlesajúci dwell time odráža lepšiu telemetriu, lov a pokrytie — nie jednoducho viac nástrojov.
Distribúcia namiesto priemeruNiekoľko nedetekovaných prienikov s dlhým chvostom skresľuje priemery; medián a rozsah hovoria pravdivejší príbeh.
Dôležité obmedzenieDwell time možno merať len pre incidenty, ktoré sú nakoniec nájdené. Neobjevené kompromitácie majú neznáme, možno nekonečné dwell times — takže reportované čísla vždy podhodnocujú najhorší prípad.