czas przebywania atakującego w sieci

Czas przebywania atakującego w sieci (dwell time) to liczba dni, jakie mijają od kompromitacji środowiska do wykrycia obecności napastnika. Liczy się go do chwili wykrycia, a nie do usunięcia intruza. Mandiant podaje tę miarę co roku w raporcie M-Trends: globalna mediana wzrosła z 11 dni w 2024 roku do 14 dni w 2025 roku ^[1]. Im dłużej napastnik pozostaje niezauważony, tym więcej danych może wynieść i tym więcej śladów zdąży zatrzeć.

Jak działa

Miara ma dwa punkty graniczne. Początek to pierwszy udany krok napastnika, na przykład użycie exploita albo skradzionych danych uwierzytelniających. Koniec to moment, w którym ofiara albo ktoś z zewnątrz stwierdza włamanie. Datę początku ustala się zwykle dopiero po incydencie, w toku analizy informatyki śledczej, na podstawie logów, znaczników czasu plików i wskaźników kompromitacji.

Schemat poniżej pokazuje, który odcinek incydentu obejmuje ta miara.

RYS. 1Odcinek mierzony jako dwell time

Pokrewną miarą jest MTTD, czyli średni czas do wykrycia liczony dla wszystkich zdarzeń w organizacji. Czas od wykrycia do opanowania sytuacji opisuje z kolei MTTR. Dwell time dotyczy pojedynczego włamania i jest wynikiem, a nie celem: pokazuje, jak skuteczne były mechanizmy wykrywania.

Od czego zależy

Na długość tego okresu wpływa przede wszystkim to, kto wykrywa włamanie. W danych Mandianta za 2024 rok mediana wynosiła 10 dni, gdy organizacja wykryła atak sama, 26 dni, gdy powiadomił ją podmiot zewnętrzny, i 5 dni, gdy ujawnił się sam napastnik, co dotyczy zwłaszcza ransomware ^[2]. W 2025 roku organizacje wykryły włamanie wewnętrznie w 52% przypadków, wobec 43% rok wcześniej ^[1].

Drugim czynnikiem jest cel napastnika. Grupa szyfrująca dane ujawnia się szybko, bo potrzebuje okupu. Grupa szpiegowska, zwykle opisywana jako APT, stara się pozostać niewidoczna jak najdłużej. Według M-Trends 2026 mediana dla incydentów szpiegowskich i dla incydentów z udziałem północnokoreańskich pracowników IT wynosiła 122 dni ^[1]. Niebezpiecznik, omawiając ten raport, wskazuje tę samą wartość ^[4].

Trzecim czynnikiem jest miejsce, w którym napastnik się zagnieździ. Kampanię BRICKSTORM, opisaną przez Google Threat Intelligence Group, prowadzono z urządzeń zwykle nieobjętych EDR (Endpoint Detection and Response), takich jak hiperwizory VMware ESXi ^[3]. Średni czas przebywania w środowisku ofiary do wykrycia wynosił w niej 393 dni ^[3].

W WordPressie

Na stronach WordPress czas przebywania napastnika bywa długi, bo typowa witryna nie ma nikogo, kto przegląda jej logi. Włamanie często wychodzi na jaw dopiero przez objawy widoczne z zewnątrz. Dokumentacja WordPress.org wymienia wśród nich wpis strony na czarną listę wyszukiwarek, wyłączenie witryny przez hosting, ostrzeżenia antywirusów odwiedzających, zgłoszenia, że strona atakuje inne serwisy, oraz nieautoryzowane działania, na przykład utworzenie nowych użytkowników ^[5]. Każdy z tych sygnałów oznacza wykrycie z zewnątrz, a więc zwykle dłuższy okres niewykrycia.

Napastnik, który chce zostać na stronie, utrwala dostęp. Typowe sposoby to webshell ukryty między plikami wtyczki, tylna furtka wstrzyknięta w plik motywu i nieautoryzowane konto administratora. Dokumentacja zwraca uwagę, że plik .htaccess jest jednym z najczęściej modyfikowanych przy infekcjach, a zmiany w plikach index.php, header.php czy footer.php wpływają na wszystkie żądania strony ^[5].

Ustalenie, od kiedy trwało włamanie, wymaga danych. Dokumentacja zauważa, że analiza śledcza jest dla właścicieli stron często bardzo trudna z powodu braku wiedzy technicznej albo braku dostępnych danych ^[5]. Dlatego o tym, czy da się zmierzyć dwell time na stronie WordPress, decyduje w praktyce retencja logów serwera i hostingu.

Zagrożenia i skutki

Długi okres niewykrycia zwiększa szkody na kilka sposobów.

• Napastnik ma czas na ruch boczny i przejęcie kolejnych kont oraz serwerów.
• Rośnie ilość danych objętych eksfiltracją danych, a z nią zakres ewentualnego naruszenia ochrony danych osobowych.
• Kopie zapasowe z okresu włamania mogą już zawierać zainfekowane pliki, więc przywrócenie stanu sprzed ataku staje się trudniejsze.
• Logi z początku incydentu mogą zostać nadpisane, zanim ktokolwiek je przejrzy.

Raport M-Trends 2026 opisuje też przyspieszenie po stronie napastników. W 2022 roku mediana czasu od uzyskania dostępu do przekazania go kolejnej grupie przekraczała 8 godzin, a w 2025 roku spadła do 22 sekund ^[1]. Taki model pracy odpowiada roli brokera początkowego dostępu: ten, kto włamał się pierwszy, szybko sprzedaje dostęp dalej.

Jak skracać

Skracanie dwell time polega na przesunięciu wykrycia z zewnątrz do wewnątrz organizacji.

• Zbieranie zdarzeń w jednym miejscu, na przykład w SIEM (Security Information and Event Management), i reguły wykrywające nietypowe logowania, nowe konta oraz zmiany w plikach.
• Monitorowanie integralności plików rdzenia, wtyczek i motywów.
• Aktywne polowanie na zagrożenia, czyli szukanie śladów włamania bez czekania na alert.
• Plan reagowania na incydenty, który określa, kto sprawdza sygnał i w jakim czasie.

Po wykryciu włamania na stronie WordPress dokumentacja zaleca m.in. wymuszenie zmiany haseł wszystkich użytkowników, wymianę kluczy w wp-config.php, co wylogowuje wszystkie sesje, oraz ponowną zmianę haseł po oczyszczeniu strony ^[5]. Wymianę tę opisuje hasło klucze bezpieczeństwa i sole, a cały proces hasło czyszczenie przejętej strony.

Historia i przykłady

Mandiant publikuje globalną medianę dwell time w corocznych raportach M-Trends. Za 2024 rok wyniosła ona 11 dni, wobec 10 dni w 2023 roku ^[2], a za 2025 rok 14 dni ^[1]. Wzrost w ostatnim raporcie autorzy wiążą z dużą liczbą długotrwałych operacji szpiegowskich i działań północnokoreańskich pracowników IT ^[1]. W tym samym raporcie vishing stał się drugim najczęstszym wektorem wejścia z udziałem 11%, po exploitach z 32% ^[1].