Dwell time (temps de présence)

Comment ça fonctionne

Le dwell time se calcule comme l'intervalle entre l'instant de la compromission initiale (souvent le premier accès obtenu par l'attaquant) et l'instant de sa détection effective par l'équipe de défense. Il est étroitement lié au MTTD (Mean Time To Detect), qui en représente la moyenne statistique sur un ensemble d'incidents, ainsi qu'au MTTR (Mean Time To Respond ou Mean Time To Contain), qui prolonge l'analyse jusqu'à la phase de confinement. La difficulté de la mesure tient au fait que la date de compromission n'est connue qu'a posteriori, généralement reconstituée pendant l'investigation forensique à partir des journaux et des artefacts retrouvés.

Dans la pratique, le dwell time se décompose en plusieurs phases que l'on peut relier aux tactiques du référentiel MITRE ATT&CK :

• Accès initial et établissement d'une persistance : l'attaquant obtient un premier point d'appui et cherche à survivre aux redémarrages et aux rotations de session.
• Reconnaissance interne : énumération des hôtes, des comptes, des partages et des services exposés afin de cartographier la cible.
• Escalade de privilèges et mouvement latéral : déplacement d'un système à l'autre pour atteindre des actifs à plus forte valeur.
• Actions sur objectif : exfiltration de données, chiffrement, sabotage ou installation d'une charge persistante.

Chacune de ces phases représente une opportunité de détection. Plus la détection intervient tôt dans cette chaîne, plus le dwell time est court et plus le périmètre de l'incident reste circonscrit.

Pourquoi un dwell time long aggrave les dégâts

Le temps joue toujours en faveur de l'attaquant. Un dwell time élevé signifie que l'adversaire a eu le loisir d'explorer méthodiquement l'environnement, d'identifier les données sensibles, de neutraliser les sauvegardes et de désactiver les protections avant de passer à l'action. Dans le cas des rançongiciels modernes, la phase de préparation, ou staging, précède souvent le chiffrement de plusieurs jours, voire semaines : repérage des contrôleurs de domaine, vol d'identifiants à privilèges, exfiltration de données en vue d'une double extorsion.

Réduire le dwell time, c'est donc réduire mécaniquement la surface de l'impact. Une détection survenant pendant la reconnaissance ou le début du mouvement latéral, plutôt qu'au moment de l'exfiltration, transforme une crise majeure en incident maîtrisable. C'est précisément la raison pour laquelle les équipes de sécurité cherchent à comprimer cet intervalle, sans pour autant noyer les analystes sous les alertes ni multiplier les faux positifs qui érodent la confiance dans les outils de détection.

Le rôle de la déception

La sécurité par la déception (deceptive security) attaque le problème du dwell time à la racine en plaçant sur le réseau des leurres, des honeypots, des breadcrumbs et des honeytokens conçus pour être découverts par un attaquant en phase de reconnaissance. Un défenseur légitime n'a aucune raison d'interagir avec ces artefacts ; toute interaction constitue donc un signal à forte valeur, presque dépourvu de faux positif.

Cette approche déplace la détection très en amont dans la chaîne d'attaque. Là où une solution traditionnelle peut ne révéler une compromission qu'après des semaines, un leurre touché pendant l'énumération ou lors du premier saut de mouvement latéral génère une alerte quasi immédiate. Le dwell time passe alors de l'ordre de plusieurs semaines à celui de quelques minutes ou heures.

• Détection précoce : les leurres se déclenchent dès la reconnaissance, avant que l'attaquant n'atteigne les actifs critiques.
• Signal fiable : une interaction avec un decoy est intentionnelle, ce qui réduit drastiquement le bruit et les faux positifs.
• Cartographie de l'intrusion : les honeytokens et breadcrumbs révèlent le chemin emprunté et accélèrent le confinement.