Dwell time: quanti giorni un attaccante resta nascosto

La risposta breve: il dwell time è il numero di giorni che un attaccante passa dentro i tuoi sistemi tra il momento in cui entra e il momento in cui lo scopri o lo rimuovi. È la metrica più onesta che esista in sicurezza, perché non misura quanto sei attrezzato, ma quanto a lungo qualcuno ha potuto muoversi in casa tua senza che nessuno se ne accorgesse.

Cos'è il dwell time

Dwell time significa, letteralmente, tempo di permanenza. In sicurezza indica l'intervallo che va dalla prima intrusione fino alla scoperta dell'attaccante o alla sua eradicazione. È la finestra in cui l'intruso è dentro e nessuno lo sa.

Il concetto è vicino a quello di MTTD (Mean Time To Detect), il tempo per accorgersi, ma con una sfumatura importante: il dwell time guarda tutta la permanenza dell'attaccante, dall'ingresso fino a quando viene rimosso. È una misura del danno potenziale, perché più a lungo uno resta dentro, più cose riesce a fare: mappare la rete, rubare credenziali, individuare i backup, esfiltrare dati e preparare il colpo finale.

I numeri reali: cosa dice Mandiant

Il riferimento di settore è il report Mandiant M-Trends 2025, che ogni anno misura il dwell time su migliaia di indagini reali. La buona notizia è che la mediana globale è scesa parecchio negli anni, arrivando nell'ordine di poco più di una settimana. La cattiva notizia è tutta nel dettaglio.

• Quando l'attacco viene segnalato da un terzo esterno, ad esempio le forze dell'ordine o un partner, i tempi tendono a essere più contenuti.
• Quando invece l'azienda scopre l'attacco da sola, internamente, il dwell time mediano è tipicamente più alto, spesso di diverse settimane.
• Il caso peggiore resta il ransomware scoperto tardi e, soprattutto, la quota enorme di aziende che vengono avvisate da qualcun altro invece di accorgersene da sole.

Questo è il punto che conta per il mid-market italiano: la media globale è confortante, ma vale per organizzazioni con presidi maturi. Per un'azienda senza un SOC continuo, la finestra reale di permanenza è molto più vicina ai valori alti, quelli che si contano in settimane. E in Italia il quadro non aiuta: il Clusit segnala da anni una crescita costante degli incidenti gravi, il che significa più occasioni perché un attaccante entri e resti.

Perché il dwell time è così alto

Non è questione di aziende distratte o di IT incapaci. Il dwell time resta alto per tre motivi molto concreti e molto comuni nel mid-market.

1. Alert fatigue. Gli strumenti di sicurezza generano centinaia o migliaia di allarmi al giorno, la stragrande maggioranza dei quali sono falsi positivi. Quando tutto lampeggia, l'allarme che conta finisce annegato nel rumore. L'attaccante non ha bisogno di essere invisibile, gli basta essere uno dei mille alert che nessuno ha tempo di guardare.
2. Strumenti scollegati. Firewall, antivirus, protezione della posta, log dei server: ognuno vede un pezzo e nessuno vede il quadro. Un attacco che tocca più sistemi lascia tracce sparse in console diverse, e senza qualcuno o qualcosa che le colleghi, i singoli segnali restano innocui presi uno per uno.
3. Notti e weekend scoperti. Gli attaccanti lo sanno benissimo e scelgono apposta il venerdì sera, il ponte, l'agosto. Se la sicurezza è presidiata solo negli orari d'ufficio, l'intruso ha davanti ore o giorni di campo libero prima che qualcuno rientri e guardi.

Messi insieme, questi tre fattori spiegano perché la finestra si allunga: non perché manchino gli strumenti, ma perché manca chi li guarda in continuo e con il contesto giusto. Abbiamo raccontato la stessa dinamica dal punto di vista della scoperta in quanto tempo serve per accorgersi di un attacco.

Perché dovrebbe preoccuparti (anche a norma di legge)

Un dwell time lungo non è solo un problema tecnico, è un moltiplicatore di danno su tre fronti. Sul piano operativo, più tempo l'attaccante resta dentro, più è probabile che arrivi ai sistemi critici e ai backup, trasformando un incidente contenibile in un fermo totale. Sul piano economico, l'analisi IBM sul costo delle violazioni mostra da anni che le aziende che scoprono e contengono in fretta pagano una frazione di quelle che ci mettono mesi.

E poi c'è il piano normativo. Con la NIS2, accorgersi tardi di un incidente non è più solo un danno per l'azienda, diventa un tema di conformità e di responsabilità che arriva fino al vertice, con obblighi di notifica in tempi stretti. Non puoi notificare in fretta un incidente che scopri con settimane di ritardo. Ne abbiamo scritto in sanzioni NIS2: ridurre il dwell time è, di fatto, anche un modo per stare dentro le regole.

Come si riduce il dwell time

La leva per accorciare la finestra è una sola, declinata su più fronti: vedere prima e capire prima. In pratica significa tre cose.

• Detection continua, 24/7. Coprire le ore in cui gli attaccanti si muovono, cioè notti e weekend, è la mossa che sposta di più l'ago. Un intruso che entra il sabato notte va visto il sabato notte, non il lunedì mattina.
• Correlazione degli alert. Collegare i segnali che arrivano da strumenti diversi permette di distinguere in fretta il singolo falso positivo dall'incidente vero che si sta sviluppando. Meno rumore significa scoprire prima ciò che conta.
• Un presidio che agisce, non solo che osserva. Vedere l'attacco è metà del lavoro. L'altra metà è la velocità con cui lo si contiene: è la parte che misuriamo con il MTTR, il tempo di risposta, che va letto insieme al dwell time per avere il quadro completo.

Tutto questo richiede un presidio continuo e la capacità di dare senso agli alert, due cose che per un'azienda mid-market è difficile costruire e trattenere in casa. È esattamente il lavoro di un SOC gestito, e il modo con cui AmagisTech accorcia la finestra di permanenza per le aziende italiane.

Cosa succede in quei giorni: un esempio

Per capire perché ogni giorno di dwell time conta, aiuta seguire cosa fa concretamente un attaccante nella finestra in cui resta nascosto. Non entra e cifra tutto subito: quello è raro. Nella maggior parte dei casi c'è una sequenza, e ogni fase richiede tempo che noi gli stiamo regalando.

1. Giorno 1, l'ingresso. Arriva tramite una mail di phishing, una credenziale rubata o una vulnerabilità non aggiornata. In questa fase è quasi invisibile, ha appena messo un piede dentro.
2. Giorni successivi, la ricognizione. Studia la rete, capisce dove sono i dati che contano, quali account hanno più privilegi, dove stanno i backup. Si muove piano proprio per non far scattare allarmi.
3. Movimento laterale. Da una macchina secondaria si sposta verso i sistemi critici, spesso rubando le credenziali di amministratore lungo il percorso. Qui la finestra di permanenza fa la differenza tra fermarlo su un PC di scarsa importanza e trovarselo sul server centrale.
4. Esfiltrazione e colpo finale. Copia fuori i dati, neutralizza i backup e solo alla fine, quando è pronto, cifra i sistemi o chiede il riscatto.

Il punto è tutto qui: se lo scopri al giorno 1 o 2, stai gestendo un tentativo di intrusione. Se lo scopri dopo tre settimane, con i backup già compromessi e i dati già usciti, stai gestendo una crisi. Il dwell time è, letteralmente, quanto in là in questa sequenza gli permetti di arrivare.

In sintesi

Il dwell time misura per quanto tempo un attaccante è rimasto nascosto tra le tue mura. I numeri di Mandiant dicono che la media globale migliora, ma per chi non ha un presidio continuo la realtà è ancora fatta di settimane, non di giorni. È alto per ragioni concrete, alert fatigue, strumenti scollegati e orari scoperti, e si abbassa con detection continua, correlazione e una risposta rapida.

Se vuoi vedere come si accorcia davvero questa finestra nella pratica, parti dai nostri servizi di observability e SecOps: è così che portiamo la scoperta di un attacco dalle settimane alle ore, prima che diventi un problema operativo o di conformità.