Dwell Time: um importante indicador para minimizar danos

Autor: Max Silva E Souza Rahmann, Pre Sales Solutions Architect da SEK   Em termos de cibersegurança, um indicador que atualmente se tornou bastante relevante é o “Dwell Time”, em tradução livre, tempo de permanência, que pode ser entendido de duas formas: Tempo em que um atacante transita em uma rede ou sistema, desde que houve o comprometimento inicial desses, até a detecção por uma equipe ou solução de monitoramento. Essa visão é compartilhada por empresas de segurança como Fireeye, Crowdstrike, entre outras. Neste caso, o consideramos, como parâmetro, o MTTD (Mean Time To Detect), que é o tempo levado para se descobrir um provável incidente. Período entre o comprometimento inicial a um sistema ou rede, por um atacante, e a completa remoção desta ameaça, de tal ambiente. Essa interpretação é feita por empresas como Armor e Raytheon. Para tal definição devemos consideramos o MTTR (Mean Time To Respond), que representa o tempo para remediar e/ou erradicar (contenção ou remediação) a ameaça, após sua descoberta.   Ambas as visões de “Dwell Time” levam em conta um padrão de ameaças seguindo o Framework Lockheed Martin Cyber Kill Chain, que serve como um modelo de identificação e prevenção de atividades de intrusão aos ativos de um usuário individual ou de uma empresa. O Dwell Time costuma ser medido em dias, para médias globais, ou então, em minutos e até segundos, no caso de um ataque pontual. Também há classificações de Dwell Time que podem ser baseadas em segmentos, tamanho das empresas, bem como país, continente envolvido, tipo de ameaça, origem do ataque (externo ou “insiders”) e até tipo de ambiente. A seguir, o Dwell Time (seguindo a interpretação de detecção, ou MTTD) médio global registrado anualmente, conforme relatório da empresa Mandiant*, de 2024: 2011: 416 dias; 2012: 243 dias; 2013: 229 dias; […]