Dwell Time (Thời gian trú留) trong an ninh mạng: Định nghĩa, xu hướng và giảm thiểu

Dwell Time là gì?

Dwell Time (Thời gian trú留) trong an ninh mạng là khoảng thời gian từ khi kẻ tấn công xâm nhập thành công vào mạng/hệ thống của tổ chức cho đến khi bị phát hiện. Đơn vị đo: ngày (days).

Công thức: Dwell Time = Thời điểm phát hiện - Thời điểm xâm nhập ban đầu (Initial Compromise)

Tại sao Dwell Time quan trọng?

• Càng lâu dwell time → càng nhiều dữ liệu bị đánh cắp, mã độc lan rộng, backdoor được gieo, quyền leo thang (privilege escalation) đến Domain Admin.
• Chi phí khắc phục tỷ lệ thuận với dwell time (IBM: $1M+ tiết kiệm nếu detect & contain < 30 ngày).
• Chỉ số đo lường hiệu quả chương trình phát hiện & ứng phó (Detection & Response maturity).

Xu hướng Dwell Time toàn cầu (Mandiant M-Trends, Sophos, IBM, Verizon DBIR)

Lưu ý: Median (trung vị) ≠ Average (trung bình). Một vài vụ dwell > 1 năm kéo cao average.

Dwell Time theo khu vực (FireEye/Mandiant 2022)

• Americas: 17 ngày (median)
• EMEA: 48 ngày
• APAC: 76 ngày (cao do thiếu năng lực detection, chia sẻ threat intel kém)

Dwell Time trong tấn công Ransomware

• Kẻ tấn công ransomware hiện nay (LockBit, BlackCat/ALPHV, Cl0p, Akira) thường dwell 3-7 ngày trước khi triển khai payload mã hóa.
• Giai đoạn "Pre-ransomware": Credential access, lateral movement, data exfiltration (double extortion), disable backup/security tools.
• Phát hiện sớm trong giai đoạn này → ngăn chặn mã hóa dữ liệu.

Cách giảm Dwell Time (Giảm MTTD - Mean Time To Detect)

1. Visibility toàn diện: Network (Zeek, NetFlow, PCAP), Endpoint (EDR/XDR), Cloud (CSPM, CDR), Identity (AD/Entra ID logging), Email, SaaS.
2. Detection as Code: Sigma rules, YARA, SNORT/Suricata, KQL (Sentinel), Splunk SPL – version control, CI/CD test, deploy tự động.
3. MITRE ATT&CK Coverage: Map detection rules tới techniques (T1059, T1003, T1566, T1486...), đo lường coverage %, tập trung gap cao rủi ro.
4. Threat Hunting chủ động: Hypothesis-driven (ví dụ: "Kẻ tấn công dùng WMI để lateral movement"), scheduled hunts, purple team exercises.
5. UEBA / Anomaly Detection: Baseline hành vi user/device → alert khi lệch (impossible travel, odd hours, volume spike, new process parent).
6. Automated Enrichment & Triage: SOAR auto-enrich IP/domain/hash (VirusTotal, AbuseIPDB, AlienVault OTX), gán severity, assign analyst.
7. Log Retention & Searchability: Hot storage ≥ 90 ngày, cold ≥ 1 năm (tuân thủ). Query nhanh (Data Lake: Athena, Snowflake, Elastic).
8. Purple Team / Red Team định kỳ: Emulate APT (APT29, FIN7, Lazarus) → đo dwell time thực tế → cải thiện detection.

Phân biệt Dwell Time với các khái niệm liên quan

Kết luận

Dwell Time là "nhịp tim" của chương trình Detection & Response. Mục tiêu: Internal Detection Median < 14 ngày, Breakout Time detection < 1 giờ. Đầu tư vào Visibility, Detection as Code, Threat Hunting, Automation – không chỉ mua tool.