Dwell Time
Dwell time is de tijd dat een aanvaller onopgemerkt in je netwerk of systemen zit. Die tijd loopt vanaf het moment van inbraak tot het moment dat je hem ontdekt. Hoe langer de dwell time, hoe meer schade een aanvaller kan aanrichten.
Wat is dwell time?
Dwell time meet de periode tussen de eerste inbraak (initial compromise) en het moment van detectie. Soms rekenen teams door tot de aanvaller volledig verwijderd is.
Die periode splitst in twee delen. MTTD (Mean Time to Detect) is de tijd tot je de aanval ontdekt. MTTR (Mean Time to Respond) is de tijd daarna om de aanval te stoppen.
In dit venster blijft een aanvaller actief. Hij doet verkenning, beweegt lateraal door je netwerk, verhoogt zijn rechten en steelt data (data-exfiltratie).
Hoe wordt dwell time gemeten?
Je meet dwell time vanaf de eerste compromittering tot de detectie of verwijdering. Analisten gebruiken meestal het gemiddelde of de mediaan over veel incidenten.
Een SIEM (Security Information and Event Management) verzamelt logs uit je systemen. Dat helpt je om deze momenten nauwkeurig vast te leggen.
Volgens Mandiant M-Trends steeg de mediane wereldwijde dwell time naar 14 dagen (M-Trends 2026, over 2025). Daarvoor daalde die juist meerdere jaren achtereen.
Wat is de rol van dwell time binnen een SOC?
Dwell time laat zien hoe volwassen je detectie en respons zijn. Een SOC (Security Operations Center) bewaakt je omgeving continu en jaagt actief op dreigingen. Bekijk hoe een SOC werkt.
Een SOC met 24/7 monitoring, threat hunting en snelle incident response verkort de dwell time flink. De managed SOC van Aumatics brengt deze capaciteiten samen in één dienst.