Il tempo di permanenza è il periodo in cui un attaccante rimane all'interno di una rete prima di essere rilevato o rimosso. Misura per quanto tempo un'intrusione può restare nascosta mentre l'attaccante esplora i sistemi, ruba dati o prepara fasi successive come la persistenza e il movimento laterale.
È importante perché un tempo di permanenza più lungo di solito ნიშნავს danni maggiori. Un intruso con tempo a disposizione può abusare di account validi, raccogliere credenziali, raggiungere host aggiuntivi ed esfiltrare in modo silenzioso informazioni sensibili. I difensori riducono il tempo di permanenza con un logging efficace, il tuning degli alert, il monitoraggio delle identità e una risposta rapida agli incidenti. In pratica, un tempo di permanenza lungo spesso indica scarsa visibilità piuttosto che un singolo alert mancato, motivo per cui i log storici, i record di autenticazione e la telemetria degli endpoint sono fondamentali per individuare l'intera portata di una violazione.