Dwell Time คืออะไร?
Dwell Time (ใน Cybersecurity) = ช่วงเวลาระหว่างที่ Attacker โจมตีเข้าไปในระบบสำเร็จ (Initial Compromise) จนกระทั่งองค์กรตรวจพบการโจมตีนั้น (Detection) หน่วยวัด: วัน (Days)
สถิติ Dwell Time สำคัญ
| แหล่งข้อมูล | Median/Average Dwell Time | ปี |
|---|---|---|
| Mandiant (M-Trends) | 24 days (Median) | 2020 |
| Mandiant | 99 days (Average) | 2017 |
| Sophos | 11 days | 2021 |
| FireEye (EMEA) | 469 days | 2020 |
| IBM | 228 days (Identify), 80 days (Contain) | 2020 |
| Global Median (Historical) | 416 days → 24 days | 2011 → 2020 |
Ransomware Dwell Time
Ransomware มักมี Dwell Time สั้นกว่า APT เพราะโจมตี "ดัง" (Encrypt Files, Ransom Note) แต่บางกลุ่มทำ "Double Extortion" (Steal Data ก่อน Encrypt) อาจค้างนานกว่า
ทำไม Dwell Time สำคัญ?
- ยิ่งนาน = ยิ่งเสียหายมาก (Data Exfiltration, Persistence, Lateral Movement)
- KPI สำคัญของ SOC/Blue Team: ลด Mean Time to Detect (MTTD)
- Reflect ความสามารถใน Detection & Visibility ขององค์กร
วิธีลด Dwell Time
- EDR/XDR: Endpoint Visibility & Behavioral Detection
- Network Traffic Analysis (NTA/NDR): Detect Anomalies ใน East-West Traffic
- SIEM + SOAR: Log Correlation, Automated Enrichment & Response
- Threat Hunting: Proactive Search ไม่รอ Alert
- Deception Technology: Honeypots/Canaries ตรวจจับ Attacker เร็ว
- ICS/OT Monitoring: Specialized Tools (Nozomi, Dragos, Claroty)
- Baseline & Anomaly Detection: รู้ "ปกติ" อย่างไร จะจับ "ผิดปกติ" ได้
Threat Hunting - ลด Dwell Time แบบ Proactive
- Structured Hunt: ใช้ TTPs (MITRE ATT&CK) หา IoA/IoC
- Unstructured Hunt: ใช้ Trigger/Anomaly เริ่มสืบสวน
- Intel-based Hunt: ใช้ Threat Intelligence Feeds
- Hypothesis-driven: สมมติว่า "Attacker อยู่ในระบบแล้ว" แล้วหาหลักฐาน
Threat Hunting Tools
- Analytics: Splunk, Elastic, Sentinel, Chronicle
- EDR: CrowdStrike, SentinelOne, Defender for Endpoint, Cortex XDR
- Network: Zeek, Suricata, Corelight, Darktrace
- Threat Intel: MISP, OpenCTI, TAXII/STIX Feeds
Recovery จาก Cyber Attack
NIST Define: "Develop/Implement Activities for Resilience & Restore Capabilities/Services Affected by Cybersecurity Incident"
- Backup & Restore (Clean Backups = ระบาย Ransomware เร็วที่สุด)
- Incident Response Plan (Tested/Exercised)
- Forensics & Root Cause Analysis
- Lessons Learned → Improve Defenses
ต้นทุนการ Recovery
Sophos 2023: Average Ransomware Recovery Cost > $2M (เพิ่มจาก $761k ในปี 2020)
