Tiempo de permanencia (dwell time)
En ciberseguridad, el dwell time (tiempo de permanencia) es el tiempo que un atacante pasa dentro de una red desde la intrusión inicial hasta que la organización lo detecta. Mientras más largo, más oportunidad tiene de moverse lateralmente, robar datos o preparar un ransomware. Se reduce con monitoreo continuo y threat hunting (búsqueda proactiva de amenazas).
Profundiza este tema en nuestro TecnetBlog: MTTD, MTTA y MTTR: cómo calcularlas y qué valores buscar
tiempo de permanencia del atacante, tiempo de detección, attacker dwell time, tiempo de permanencia ciberseguridad, dwell time SOC
Términos relacionados
Microsoft Sentinel
Microsoft Sentinel es la plataforma en la nube de Microsoft que funciona como SIEM (gestión de información y eventos de seguridad) y SOAR (orquestación, automatización y respuesta de seguridad). Reúne registros de Microsoft 365, Azure, firewalls y otras fuentes, detecta amenazas con reglas y análisis de comportamiento, y automatiza respuestas. Antes se llamaba Azure Sentinel y sus consultas usan el lenguaje KQL (Kusto Query Language).
Contención y erradicación de incidentes
La contención y la erradicación son dos fases de la respuesta a incidentes. La contención limita el daño y evita que el ataque se extienda, por ejemplo aislando un equipo de la red o deshabilitando una cuenta comprometida. La erradicación elimina la causa: borra el malware, corrige la vulnerabilidad explotada y retira los accesos del atacante antes de pasar a la recuperación.
Fatiga de alertas
La fatiga de alertas es el desgaste que sufren los analistas de seguridad cuando reciben más alertas de las que pueden revisar, muchas de ellas falsos positivos. El volumen reduce la atención y aumenta la probabilidad de pasar por alto un incidente real entre el ruido. Se reduce afinando las reglas de detección, correlacionando eventos, eliminando alertas duplicadas y automatizando parte del triaje.
Triaje de alertas
El triaje de alertas es el proceso de revisar, clasificar y priorizar las alertas de seguridad para decidir cuáles son incidentes reales y cuáles se atienden primero. El analista la valida con contexto del equipo, del usuario y de inteligencia de amenazas, y la descarta como falso positivo o la escala. Es tarea del nivel 1 de un SOC (centro de operaciones de seguridad).
Niveles del SOC (tier 1, 2 y 3)
Los niveles del SOC (centro de operaciones de seguridad) reparten el trabajo de sus analistas. El nivel 1 (tier 1) revisa cada alerta y decide si es real; el nivel 2 investiga los casos confirmados y los contiene; el nivel 3 busca amenazas que las reglas no detectaron y mejora la detección. Cada nivel escala al siguiente lo que no puede resolver.
BAS (simulación de brechas y ataques)
La simulación de brechas y ataques (BAS, breach and attack simulation) es una tecnología que ejecuta de forma automática y continua técnicas de ataque reales, sin dañar los sistemas, para comprobar si los controles de seguridad las bloquean o detectan. A diferencia de una prueba de penetración puntual, repite las pruebas con frecuencia y muestra qué controles necesitan ajustes.
¿Quieres pasar del concepto a tu operación?
Cuéntanos qué necesitas y un ingeniero de TecnetOne te responde.
Hablar con un ingenieroHablar con un ingeniero
Cuéntanos qué necesitas y te respondemos el mismo día hábil.