Timpul de persistență (dwell time) este perioada în care un atacator rămâne prezent, nedetectat, într-o rețea compromisă, calculată de la momentul accesului inițial până la momentul în care intruziunea este descoperită și eliminată. E unul dintre cei mai relevanți indicatori ai maturității de securitate a unei organizații — cu cât e mai scurt, cu atât daunele reale sunt, de regulă, mai mici.
Cum se formează timpul de persistență?
Odată ce un atacator obține accesul inițial, printr-un vector de atac oarecare, urmează de regulă o perioadă de explorare discretă a rețelei — mișcare laterală, escaladarea privilegiilor, identificarea datelor valoroase — înainte de acțiunea finală. Cu cât atacatorul e mai atent să evite declanșarea alertelor, folosind tehnici bazate pe instrumente deja prezente în sistem, cu atât acest interval se prelungește, uneori luni sau chiar ani, mai ales în cazul unei amenințări persistente avansate. Fiecare zi din acest interval e, practic, timp câștigat de atacator și pierdut de organizația afectată, chiar dacă nimic vizibil nu pare să se întâmple din exterior.
De ce contează?
Pentru că fiecare zi suplimentară în care atacatorul rămâne nedetectat înseamnă mai mult timp pentru a explora rețeaua, a fura date suplimentare sau a-și extinde controlul prin backdoor-uri redundante. Reducerea timpului de persistență, printr-o combinație de detectare automată și vânătoare activă de amenințări, este unul dintre obiectivele centrale ale oricărei echipe de securitate matură, la fel de important ca prevenirea inițială a accesului. Multe organizații măsoară acest indicator sistematic, ca parte a raportărilor periodice de securitate, exact pentru a urmări progresul real în timp și a justifica investițiile viitoare în monitorizare.
Cum îl reduci?
- Investește în monitorizare continuă prin SIEM, care semnalează comportament anormal, nu doar fișiere cunoscute ca malițioase.
- Practică vânătoarea de amenințări regulat, ca proces activ, nu doar reacție la alerte automate.
- Segmentează rețeaua, ca timpul necesar unui atacator pentru a se deplasa lateral să crească, oferind mai multe șanse de detectare pe parcurs.
- Ai un plan de răspuns la incidente testat, ca detectarea să fie urmată imediat de eliminarea reală a accesului, nu doar de constatare.
- Măsoară și raportează periodic timpul de persistență estimat pentru incidentele trecute, ca indicator obiectiv al progresului echipei de securitate.
Un exemplu concret
O investigație de securitate arată că un atacator a avut acces la rețeaua unei firme timp de aproape cinci luni înainte de a fi descoperit, perioadă în care a explorat treptat sistemele și a extras periodic documente, în volume mici, greu de observat. Implementarea ulterioară a unei soluții de monitorizare continuă reduce timpul mediu de persistență estimat la câteva zile, pentru incidente similare viitoare, o îmbunătățire semnificativă față de situația inițială.
Vrei să reduci timpul în care un atacator ar putea rămâne nedetectat în rețeaua ta? Cere monitorizare 24/7 (SOC).
Întrebări frecvente
Care e un timp de persistență considerat bun?
Nu există un standard universal, dar organizațiile cu monitorizare matură reușesc adesea detectarea în ore sau câteva zile, spre deosebire de medii nesupravegheate, unde intervalul se poate întinde pe luni sau ani.
Timpul de persistență poate fi redus la zero?
Nu realist — există mereu un interval minim între accesul inițial și detectare, oricât de scurt. Obiectivul practic este reducerea lui constantă, nu eliminarea completă a oricărui interval.