Metrik

Dwell Time

Lamanya waktu penyerang tetap tidak terdeteksi di dalam jaringan atau sistem setelah kompromi awal, dari pembobolan hingga penemuan.

Definisi

Dwell time adalah durasi antara saat penyerang pertama kali mendapatkan akses tanpa izin ke jaringan atau sistem dan saat intrusi tersebut terdeteksi serta remediasi dimulai. Ini adalah ukuran kunci seberapa efektif kemampuan deteksi suatu organisasi, karena kompromi yang tidak disadari selama berbulan-bulan memungkinkan kerusakan jauh lebih besar dibanding yang tertangkap dalam hitungan jam.

Selama periode dwell time, penyerang biasanya bergerak melampaui titik masuk awal, meningkatkan hak akses, memetakan jaringan, menemukan data berharga, dan sering membangun beberapa pijakan agar tetap bertahan jika salah satunya ditemukan dan dihapus. Dwell time yang lebih lama memberi penyerang kesempatan untuk mengeluarkan data dalam jumlah besar secara bertahap dan diam-diam, alih-alih dalam satu lonjakan yang mudah terdeteksi, dan untuk mempelajari lingkungan target dengan cukup mendalam untuk mengatur waktu tindakan yang lebih merusak, seperti menyebarkan ransomware, demi dampak maksimal. Penyerang secara aktif berusaha memperpanjang dwell time mereka sendiri dengan menonaktifkan pencatatan log, menggunakan alat administratif yang sah untuk berbaur, dan menghindari tindakan yang akan memicu peringatan yang jelas.

Dwell time penting diwaspadai karena berkorelasi langsung dengan skala kerusakan dan biaya kebocoran: semakin lama penyerang beroperasi tanpa terdeteksi, semakin banyak data yang dapat dicuri, semakin banyak sistem yang dapat dibobol, dan semakin mahal serta rumit remediasi yang akhirnya diperlukan. Bagi lembaga keuangan dan organisasi teregulasi lainnya di Indonesia, dwell time yang panjang dapat berarti kebocoran yang memengaruhi jauh lebih banyak catatan nasabah dari yang awalnya diasumsikan begitu cakupan penuhnya akhirnya terungkap, mempersulit baik respons teknis maupun pemberitahuan regulasi. Mengurangi dwell time secara konsisten menjadi salah satu perbaikan dengan daya ungkit tertinggi yang dapat dilakukan program keamanan organisasi.

Mempersingkat dwell time bergantung pada kemampuan deteksi yang kuat, termasuk pemantauan berkelanjutan, deteksi anomali berbasis perilaku, dan fungsi operasi keamanan yang memiliki staf memadai atau dialihdayakan yang dapat menyelidiki peringatan dengan segera alih-alih membiarkannya menumpuk tanpa ditinjau. Threat hunting, di mana tim keamanan secara proaktif mencari tanda kompromi alih-alih menunggu peringatan otomatis, menangkap penyerang canggih yang secara khusus berusaha menghindari deteksi. Mendorong karyawan untuk melaporkan perilaku sistem yang tidak wajar atau aktivitas mencurigakan yang mereka lihat, bahkan yang tampak kecil, menambah lapisan deteksi manusia yang berharga di samping pemantauan teknis.

Sekilas info

Jenis
Metrik keamanan
Yang diukur
Waktu dari kompromi awal hingga terdeteksi
Target sehat
Hitungan hari, bukan bulan
Lebih baik saat
Lebih rendah

Cara kerjanya

  1. 1

    Kompromi awal: penyerang mendapatkan akses tanpa izin ke jaringan atau sistem.

  2. 2

    Pergerakan lateral: mereka meningkatkan hak akses, memetakan jaringan, dan menemukan data berharga.

  3. 3

    Persistensi: beberapa pijakan sering dibangun agar tetap bertahan jika salah satunya ditemukan.

  4. 4

    Penghindaran: penyerang menonaktifkan pencatatan log dan menggunakan alat sah untuk berbaur dan menghindari peringatan.

  5. 5

    Deteksi: hitungan waktu berhenti begitu intrusi teridentifikasi dan remediasi dimulai.

Poin utama

  • Ini adalah durasi antara kompromi awal dan deteksi ditambah dimulainya remediasi
  • Dwell time yang lebih lama memungkinkan lebih banyak data dikeluarkan secara bertahap dan diam-diam
  • Penyerang secara aktif berusaha memperpanjang dwell time mereka sendiri untuk menghindari deteksi
  • Metrik ini berkorelasi langsung dengan skala kerusakan dan biaya kebocoran
  • Mengurangi dwell time adalah salah satu perbaikan dengan daya ungkit tertinggi yang dapat dilakukan program keamanan

Praktik terbaik

  • Investasikan pada pemantauan berkelanjutan dan deteksi anomali berbasis perilaku
  • Jaga fungsi operasi keamanan yang memiliki staf memadai atau dialihdayakan untuk menyelidiki peringatan dengan segera
  • Jalankan threat hunting proaktif, bukan hanya menunggu peringatan otomatis
  • Dorong karyawan melaporkan perilaku sistem tidak wajar, meski tampak kecil
  • Tinjau tren dwell time setelah setiap insiden untuk menemukan celah deteksi

Contoh nyata

Sebuah lembaga keuangan akhirnya menemukan bahwa penyerang memiliki akses ke jaringannya selama empat bulan sebelum terdeteksi, di mana catatan nasabah diam-diam dikeluarkan dalam batch kecil untuk menghindari memicu peringatan. Investasi berikutnya pada deteksi berbasis perilaku dan threat hunting mengurangi dwell time organisasi pada insiden berikutnya menjadi kurang dari dua minggu.

Bagaimana Claro membantu

Alur pelaporan phishing Claro mempersingkat jalur dari serangan sungguhan yang masuk ke kotak surat hingga kesadaran tim keamanan, secara langsung berkontribusi pada dwell time yang lebih rendah ketika karyawan melaporkan apa yang terlewat oleh filter otomatis.

Pertanyaan yang sering diajukan

Apa sebenarnya yang diukur dwell time?

Waktu antara penyerang pertama kali mendapatkan akses tanpa izin ke jaringan atau sistem dan saat intrusi tersebut terdeteksi serta remediasi dimulai.

Mengapa penyerang berusaha memperpanjang dwell time mereka sendiri?

Dwell time yang lebih lama memungkinkan mereka mengeluarkan lebih banyak data secara bertahap tanpa memicu peringatan yang jelas, serta memberi waktu mempelajari lingkungan sebelum tindakan yang lebih merusak seperti menyebarkan ransomware.

Apa yang mengurangi dwell time?

Pemantauan berkelanjutan, deteksi anomali berbasis perilaku, fungsi operasi keamanan yang memiliki staf memadai, dan threat hunting proaktif yang mencari tanda kompromi alih-alih menunggu peringatan.

Bagaimana pelaporan karyawan memengaruhi dwell time?

Karyawan yang melaporkan perilaku sistem tidak wajar atau aktivitas mencurigakan menambah lapisan deteksi manusia yang dapat menangkap apa yang terlewat pemantauan otomatis, mempersingkat waktu hingga terdeteksi.

Istilah terkait

Incident Response

Proses terstruktur yang diikuti organisasi untuk mendeteksi, membatasi, menyelidiki, dan pulih dari insiden keamanan.

Data Breach

Insiden di mana informasi sensitif, terlindungi, atau rahasia diakses, diungkap, atau dicuri tanpa izin.

Zero-Day

Celah perangkat lunak yang tidak diketahui vendor dan belum memiliki tambalan, sehingga tidak ada waktu (nol hari) untuk menyiapkan pertahanan sebelum dieksploitasi.

Insider Threat

Risiko keamanan yang berasal dari dalam organisasi, seperti karyawan, kontraktor, atau mitra yang menyalahgunakan akses sah mereka.

Kurangi risiko manusia Anda

Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.

Minta demo