Il dwell time e il numero di giorni in cui un attaccante rimane non rilevato all'interno della tua rete tra la compromissione iniziale e la scoperta. Secondo il report Mandiant M-Trends 2024, il dwell time mediano globale e sceso a 10 giorni nel 2023, in calo rispetto ai 16 giorni del 2022 e ai 21 giorni del 2021. Sebbene questa tendenza sia positiva, nasconde disparita significative: le organizzazioni senza monitoraggio 24/7 hanno ancora una media di 24 giorni di dwell time, e in alcuni settori come manifattura e istruzione, il dwell time mediano supera i 45 giorni. Ogni giorno aggiuntivo che un attaccante trascorre nel tuo ambiente aumenta la portata della compromissione, il volume dei dati esfiltrati e il costo della remediation. Il report IBM Cost of a Data Breach 2024 ha rilevato che le violazioni identificate in meno di 200 giorni costano in media 3,93 milioni di dollari, mentre quelle che richiedono più di 200 giorni costano 4,95 milioni di dollari, una differenza di oltre un milione di dollari.
Punti Chiave
- Il dwell time mediano globale e sceso da 21 giorni (2021) a 10 giorni (2023), ma varia drasticamente in base alla maturità dell'organizzazione.
- Le violazioni rilevate in meno di 200 giorni costano 1,02 milioni di dollari in meno di quelle rilevate successivamente (IBM, 2024).
- Le organizzazioni con monitoraggio SOC 24/7 raggiungono un dwell time mediano di 6 giorni vs. 24 giorni senza.
- MTTD (Tempo Medio di Rilevamento) e MTTR (Tempo Medio di Risposta) sono le due metriche di performance SOC più critiche.
- Automazione e threat hunting sono i metodi più efficaci per ridurre il dwell time.
Cosa Sono MTTD e Dwell Time?
Il dwell time (chiamato anche tempo di permanenza dell'attaccante o tempo di rilevamento) misura il tempo trascorso tra quando un attaccante ottiene per la prima volta l'accesso a un sistema e quando l'intrusione viene scoperta. E la misura più ampia dell'efficacia del rilevamento.
L'MTTD (Mean Time to Detect) e il tempo medio necessario per identificare un incidente di sicurezza tra tutti gli incidenti in un dato periodo. Mentre il dwell time si concentra sui singoli incidenti, l'MTTD fornisce una metrica aggregata per la valutazione delle prestazioni SOC.
L'MTTR (Mean Time to Respond) misura il tempo medio dal rilevamento dell'incidente al contenimento o alla risoluzione. Insieme, MTTD e MTTR formano il quadro completo dell'efficienza di risposta agli incidenti di un'organizzazione.
La relazione e diretta: impatto totale dell'incidente = dwell time + tempo di risposta. Ridurre una delle due metriche riduce direttamente il danno e il costo della violazione.
Il Trend del Dwell Time: Progressi e Lacune
L'industria della cybersecurity ha fatto progressi significativi nella riduzione del dwell time nell'ultimo decennio:
| Anno | Dwell Time Mediano Globale (Mandiant) | Contesto |
|---|---|---|
| 2011 | 416 giorni | Panorama delle minacce dominato da APT |
| 2015 | 146 giorni | Ascesa delle soluzioni EDR commerciali |
| 2018 | 78 giorni | Emergono i servizi di rilevamento gestito |
| 2020 | 24 giorni | XDR e rilevamento automatizzato maturano |
| 2021 | 21 giorni | Il ransomware forza un rilevamento più rapido |
| 2022 | 16 giorni | L'adozione di MDR accelera |
| 2023 | 10 giorni | Impatto di automazione e threat hunting |
Fonte: Report Mandiant M-Trends 2012-2024.
Tuttavia, questa mediana globale nasconde differenze critiche. I dati di Mandiant mostrano che gli incidenti rilevati internamente avevano un dwell time mediano di 13 giorni, mentre gli incidenti notificati esternamente (dove una terza parte, le forze dell'ordine o gli stessi attaccanti hanno rivelato la violazione) avevano una mediana di 28 giorni. Le organizzazioni che dipendono dalla notifica esterna sono costantemente più lente nel rilevare le minacce e affrontano costi di remediation significativamente più elevati.
Dwell Time per Fonte di Rilevamento
| Fonte di Rilevamento | Dwell Time Mediano (2023) | Percentuale di Incidenti |
|---|---|---|
| Rilevamento interno (SOC/team sicurezza) | 13 giorni | 54% |
| Notifica esterna (terze parti) | 28 giorni | 29% |
| Notifica dell'attaccante (nota ransomware) | 5 giorni | 17% |
Fonte: Mandiant M-Trends 2024.
Il dato di 5 giorni per la notifica dell'attaccante merita attenzione. Gli operatori di ransomware si rivelano intenzionalmente dopo aver completato i loro obiettivi (cifratura dei sistemi, esfiltrazione dei dati). Un dwell time di 5 giorni prima del deployment del ransomware significa che l'attaccante ha avuto 5 giorni di movimento laterale, escalation dei privilegi e preparazione dei dati non rilevati. La compromissione effettiva e iniziata molto prima.
L'Impatto Finanziario di Dwell Time Più Lunghi
Il report IBM Cost of a Data Breach 2024 fornisce l'evidenza finanziaria più chiara per investire nella velocità di rilevamento:
| Ciclo di Vita della Violazione | Costo Totale Medio | Differenza |
|---|---|---|
| Identificata in meno di 200 giorni | 3,93 milioni di dollari | Baseline |
| Identificata in più di 200 giorni | 4,95 milioni di dollari | +1,02 milioni di dollari (+26%) |
L'aumento dei costi e guidato da diversi fattori che si amplificano con il dwell time:
- Portata ampliata della compromissione: Un dwell time più lungo consente agli attaccanti di muoversi lateralmente su più sistemi, compromettere più account e accedere a più dati sensibili. Ogni sistema aggiuntivo compromesso aumenta i costi di investigazione forense e lo sforzo di remediation.
- Maggiore esfiltrazione di dati: Secondo il CrowdStrike Global Threat Report 2024, il tempo medio dall'accesso iniziale all'esfiltrazione dei dati e ora di 62 minuti per gli attori più veloci. Ogni giorno di presenza non rilevata consente ulteriori furti di dati.
- Sanzioni normative: Ai sensi della NIS2, le organizzazioni devono segnalare gli incidenti significativi entro 24 ore. Dwell time più lunghi spesso significano che l'incidente e più grave quando viene finalmente rilevato, risultando in reportistica normativa più complessa e potenzialmente sanzioni maggiori. Consulta la nostra guida alla pianificazione dell'incident response e alla segnalazione NIS2.
- Interruzione del business: Le violazioni con dwell time più lunghi richiedono remediation più estese, spesso comportando ricostruzioni complete dell'infrastruttura compromessa piuttosto che pulizia mirata.
- Danno reputazionale: Le violazioni prolungate che colpiscono clienti o partner comportano una maggiore erosione della fiducia e periodi di recupero più lunghi per la reputazione del brand.
Benchmark del Dwell Time per Settore
Le capacità di rilevamento variano significativamente tra i settori. Basandosi su dati dei report Mandiant, IBM e CrowdStrike:
| Settore | Range Tipico Dwell Time | Sfida Principale |
|---|---|---|
| Servizi finanziari | 5-15 giorni | L'alta pressione normativa stimola gli investimenti; ambienti complessi creano punti ciechi |
| Sanita | 15-30 giorni | Sistemi legacy, lacune nella visibilità dei dispositivi medici, team di sicurezza sottodimensionati |
| Manifattura | 25-50 giorni | Convergenza OT/IT, monitoraggio limitato dei sistemi industriali, targeting ransomware |
| Retail | 10-25 giorni | Alti volumi di transazioni creano rumore; superfici di attacco POS e e-commerce |
| Istruzione | 30-60 giorni | Ambienti di rete aperti, budget limitati, popolazioni utente ampie e diversificate |
| Pubblica amministrazione | 15-40 giorni | Maturita variabile tra agenzie; presa di mira da attori nation-state con TTP avanzate |
| Tecnologia | 5-15 giorni | Maggiore maturità di sicurezza bilanciata dall'attrattivita come obiettivo e supply chain complesse |
Come Ridurre l'MTTD: Strategie Pratiche
1. Implementare il Monitoraggio di Sicurezza 24/7
L'azione con il maggiore impatto e garantire il monitoraggio continuo. I dati Mandiant mostrano che le organizzazioni con monitoraggio SOC 24/7 raggiungono un dwell time mediano di 6 giorni contro i 24 giorni di quelle con copertura solo in orario lavorativo. Per la maggior parte delle organizzazioni, questo significa ingaggiare un provider SOC as a Service o un servizio MDR piuttosto che costruire una capacità interna 24/7.
2. Implementare Endpoint Detection and Response (EDR/XDR)
L'EDR fornisce una visibilità approfondita sull'attività degli endpoint che il monitoraggio a livello di rete non rileva. Secondo Forrester, le organizzazioni con EDR implementato su più del 90% degli endpoint riducono il dwell time in media del 40% rispetto a quelle che si affidano esclusivamente al monitoraggio di rete e al SIEM. L'XDR estende questo correlando telemetria di endpoint, rete, cloud e identità per il rilevamento cross-domain delle minacce.
3. Condurre Threat Hunting Proattivo
Il threat hunting e la pratica di cercare proattivamente le minacce che hanno eluso il rilevamento automatizzato. La ricerca del SANS Institute ha rilevato che le organizzazioni con programmi dedicati di threat hunting rilevano le minacce 2,5 volte più velocemente rispetto a quelle che si affidano esclusivamente agli alert automatizzati. Un hunting efficace richiede analisti qualificati dotati di threat intelligence, metodologie hypothesis-driven e accesso a telemetria completa.
4. Sfruttare Automazione e SOAR
Le piattaforme SOAR (Security Orchestration, Automation, and Response) riducono il tempo di rilevamento automatizzando le attività ripetitive che rallentano gli analisti umani. L'arricchimento automatizzato degli alert, il triage automatizzato e il contenimento automatizzato riducono collettivamente sia MTTD che MTTR. Forrester riporta che l'adozione di SOAR riduce l'MTTR fino all'80%.
5. Ridurre il Rumore degli Alert
L'alert fatigue e uno dei principali nemici del rilevamento rapido. Un SIEM mal configurato può generare migliaia di alert al giorno, seppellendo le minacce reali nel rumore. Secondo uno studio di Critical Start, gli analisti SOC sprecano in media il 32% del loro tempo investigando falsi positivi. Il tuning regolare del SIEM, i framework di prioritizzazione degli alert e la correlazione assistita da intelligenza artificiale migliorano significativamente il rapporto segnale-rumore.
6. Migliorare la Copertura dei Log e la Visibilità
Non si può rilevare ciò che non si può vedere. Molte organizzazioni hanno lacune significative nella visibilità dei log, in particolare negli ambienti cloud, nelle applicazioni SaaS e nelle reti OT/IoT. Una strategia di rilevamento completa richiede la raccolta dei log da tutte le fonti critiche: endpoint, dispositivi di rete, piattaforme di identità (Active Directory, Azure AD), gateway email, infrastruttura cloud (AWS CloudTrail, Azure Activity Log) e applicazioni aziendali.
Il Ruolo del SOC e dell'MDR nella Riduzione del Dwell Time
Che sia interno o esternalizzato, il SOC e la funzione organizzativa responsabile dell'MTTD. L'efficacia di un SOC nella riduzione del dwell time dipende da tre fattori:
- Persone: Analisti qualificati in grado di distinguere le minacce reali dal rumore ed effettuare threat hunting. Lo studio ISC2 Workforce 2023 riporta 3,4 milioni di posizioni di cybersecurity scoperte a livello globale, rendendo il talento il principale collo di bottiglia per la maggior parte delle organizzazioni.
- Processi: Procedure di triage ben definite, percorsi di escalation e playbook di risposta che garantiscano un'azione coerente e rapida indipendentemente dall'analista in turno.
- Tecnologia: Strumenti integrati di rilevamento e risposta (SIEM, EDR/XDR, SOAR, piattaforme di threat intelligence) che forniscano visibilità completa e consentano investigazioni rapide.
Per le organizzazioni che non possono costruire tutti e tre internamente, i provider MDR offrono una soluzione completa. Gartner nota che i provider MDR tipicamente dimostrano un MTTD inferiore a 1 ora per le minacce che corrispondono a indicatori noti e inferiore a 24 ore per le minacce nuove che richiedono investigazione, superando significativamente le capacità della maggior parte dei team di sicurezza interni.
Il servizio Oversight di Orizon fornisce monitoraggio continuo delle minacce con tempi di rilevamento leader nel settore, combinando rilevamento automatizzato con threat hunting esperto per minimizzare il dwell time per le organizzazioni europee.
Misurare e Monitorare il Dwell Time
Per migliorare il dwell time, devi prima misurarlo. Le metriche chiave da monitorare includono:
- MTTD per gravita dell'incidente: Monitorare il tempo di rilevamento separatamente per incidenti di gravita critica, alta, media e bassa. Gli incidenti critici dovrebbero avere l'MTTD più breve.
- MTTD per fonte di rilevamento: Misurare se gli incidenti vengono rilevati internamente (proattivo) o esternamente (reattivo). Un'alta percentuale di notifiche esterne indica lacune nel rilevamento.
- MTTR (Tempo Medio di Risposta): Monitorare dal rilevamento al contenimento. Combinare con l'MTTD per il ciclo di vita totale dell'incidente.
- Tasso di falsi positivi: Monitorare la percentuale di alert investigati che risultano benigni. Un tasso superiore al 50% indica che è necessario il tuning.
- Copertura del rilevamento: Mappare le capacità di rilevamento sul framework MITRE ATT&CK per identificare i punti ciechi nelle tecniche.
Revisiona queste metriche mensilmente e analizza i trend trimestralmente. Definisci obiettivi di miglioramento basati sui benchmark di settore e monitora i progressi. L'obiettivo non è la perfezione ma il miglioramento continuo: ridurre l'MTTD da 30 giorni a 15, poi da 15 a 7, dimostra un miglioramento misurabile della sicurezza che giustifica l'investimento continuo.