IR.5 - Redução de Dwell Time

Nota do grupo RES (Resposta a Incidentes Integrada) da seção 15 do Framework CTH.
Deriva do Capítulo 16 do PDF de referência, controle IR.5, com os subcontroles IR.5.1 a IR.5.5.
Trata o dwell time como a métrica norte do programa, decompõe o tempo entre comprometimento e resposta, define MTTD e MTTR com medição honesta, estabelece metas por maturidade e exemplifica a redução fase a fase com um caso de 47 dias.

1. Contexto e Posicionamento no Framework CTH

O dwell time é o tempo decorrido entre o comprometimento inicial e a detecção da ameaça, e é a métrica primária de eficácia defensiva porque mede exatamente o que interessa: quanto tempo o adversário ficou livre na casa. Cada dia adicional de permanência aumenta o dano potencial de forma composta, com exfiltração de dados, persistência adicional, movimento lateral para sistemas mais críticos e backdoors de reserva. Reduzir o dwell time de meses para dias, e de dias para horas, é o objetivo estratégico mais importante de qualquer programa defensivo, e a combinação de CTI, hunting, detecção automatizada e resposta rápida é o caminho para atingir esse objetivo.

No framework, o IR.5 é o controle que dá sentido único a todos os outros: a esteira inteira existe para encurtar a janela em que o adversário opera invisível. Metas progressivas por nível de maturidade vão de 30 dias no nível 2 a menos de 4 horas de MTTD no nível 5, e o alcance dessas metas depende do investimento coordenado em automação de detecção, automação de resposta, hunting proativo regular e simulação contínua com o grupo SIM.x. Cada redução de 24 horas no dwell time pode significar a diferença entre uma violação contida e uma catástrofe.

2. Definição e Componentes do Tempo

Definir dwell time com precisão operacional exige decompô-lo, porque cada componente responde a uma capacidade diferente. O tempo até o primeiro sinal mede quanto tempo a atividade adversária acontece sem deixar qualquer traço visível na telemetria existente. O tempo até a detecção mede quanto tempo o sinal existe sem que nenhuma regra ou hunt o reconheça. O tempo até a confirmação mede quanto tempo a detecção aguarda análise humana que declare o incidente real, e a partir daí começa o tempo de resposta medido pelo MTTR até a resolução.

A leitura estratégica da tabela é que não existe atalho único. Investir só em resposta acelera a contenção de um incidente detectado tardiamente, e o dano já está feito; investir só em detecção acelera o alerta, e a fila demorada adia a contenção. O dwell time é função do elo mais fraco da sequência, e o IR.5.4 usa justamente a simulação de adversário para localizar esse elo com dados, priorizando detecções para as técnicas que a simulação comprovou não serem vistas.

3. Métricas Associadas e Medição Honesta

A medição honesta começa pelo problema clássico: a origem do comprometimento frequentemente é desconhecida na detecção. Quando a evidência forense permite datar o acesso inicial, o MTTD usa essa data. Quando não permite, o caso deve registrar um intervalo com limite superior e inferior justificados, por exemplo entre a última auditoria limpa do host e a primeira detecção, com o método de estimativa escrito no caso. Nunca vale usar a data da detecção como data de comprometimento, porque essa escolha produz MTTD zero e infla silenciosamente o programa com um número bonito e falso.

Duas salvaguardas de honestidade completam o quadro. Primeira: medir mediana e não apenas média, porque um único incidente de um ano distorce a média e esconde a rotina; reportar as duas, com a mediana como referência de operação e a cauda longa como risco visível. Segunda: reportar cobertura junto com velocidade, porque MTTD calculado apenas sobre o que as ferramentas viram é métrica do farol, e o escapamento que ninguém viu não aparece em relatório nenhum até que um hunt, um reporte externo ou um incidente subsequente o revele.

Para que o cálculo seja automático e auditável, os carimbos de tempo devem ser campos estruturados do caso no IR.1, e não texto livre na descrição. O registro abaixo mostra o conjunto mínimo compatível com o IR.5.1, incluindo o tratamento do intervalo estimado quando a origem é desconhecida.

{
  "caso_id": "IR-2025-0127",
  "severidade": "Alta",
  "comprometimento_estimado": {
    "limite_inferior": "2025-02-03T09:00:00Z",
    "limite_superior": "2025-02-18T18:30:00Z",
    "metodo": "última varredura limpa do host até primeira detecção",
    "confianca": "media",
    "evidencia": "linha do tempo forense, item 12 do caso"
  },
  "deteccao": "2025-02-18T18:30:00Z",
  "confirmacao": "2025-02-18T20:05:00Z",
  "contencao": "2025-02-18T22:40:00Z",
  "resolucao": "2025-02-21T14:00:00Z",
  "dwell_time_calculado": "15 dias a 15 dias e 12 horas",
  "mttd_calculado": "12 dias a 15 dias",
  "mttr_calculado": "2 dias e 18 horas"
}

Com carimbos estruturados, a distribuição de MTTD sai direto da plataforma de casos sem trabalho manual, como na consulta exemplificada abaixo, que permite ver mediana, média e a cauda longa em um só painel.

Exemplo KQL de distribuição de MTTD a partir dos casos
let casos = IncidentTable
| where Severidade in ("Alta", "Critico")
| extend mttd_dias = (Deteccao - ComprometimentoEstimadoInferior) / 1d;
casos
| summarize mediana_dias = percentile(mttd_dias, 50),
            media_dias = avg(mttd_dias),
            p90_dias = percentile(mttd_dias, 90),
            pior_caso = max(mttd_dias),
            total_casos = count()
| project total_casos, mediana_dias, media_dias, p90_dias, pior_caso

4. Panorama de Mercado e Tendência

Levantamentos anuais do setor, como o M-Trends e o Data Breach Investigations Report, têm mostrado trajetória consistente: a mediana global de dwell time caiu de meses, em meados da década passada, para faixas de uma a duas semanas em medições recentes, e as organizações com hunting estruturado descobrem intrusões proporcionalmente mais por esforço interno do que por notificação externa. O framework adota referência próxima a essa realidade, apontando média global na casa de três semanas com casos que atingem meses ou anos.

A interpretação correta desses levantamentos é comparativa e não absoluta. A queda observada em quem pratica hunting proativo indica que a variável que mais diferencia medianas é a capacidade de procurar, e não apenas de esperar alertas; organizações sem hunting dependem do adversário errar, e adversários maduros não erram com frequência. Para o programa, a lição é direta: a curva de dwell time é o indicador que responde se o investimento combinado em detecção, hunting e resposta está funcionando, e é por isso que o IR.5.2 exige meta formal e revisão trimestral com a alta direção.

5. Plano de Redução por Etapas com Metas Realistas

O plano de redução por etapas evita a meta-últimato, que promete horas de MTTD com telemetria de anos atrás. A sequência recomendada é: medir com honestidade e estabelecer a linha de base atual; mapear as técnicas de maior risco para o negócio sem detecção, com apoio da simulação do SIM.x; fechar primeiro as lacunas de telemetria que impedem qualquer detecção, com o DAT.x; criar e ajustar detecções para as técnicas priorizadas, com o DET e o AUT.3; instituir cadência de hunting para o que regra não cobre, com o grupo HNT; e automatizar a resposta das ameaças mais comuns e de maior impacto, com o AUT.5, mirando MTTD abaixo de 24 horas e MTTR abaixo de 4 horas para incidentes com playbook, como define o IR.5.3.

Cada etapa deve ter meta, dono e janela de tempo, com revisão trimestral dos resultados contra as metas e apresentação à alta direção como indicador-chave do programa, conforme o IR.5.2. Metas realistas são aquelas que o nível atual de maturidade sustenta, e saltos de nível saltam uma casa por vez.

Cadência merece ênfase especial no plano, porque é o único fator que comprime o tempo até a detecção sem depender do adversário errar. Detecções automatizadas cobrem o que foi previsto, e hunts em cadência regular cobrem o resto, buscando continuamente o que as regras não alcançaram; para ameaças críticas, o padrão de nível 5 empurra essa busca para contínua, com correlação multi-sensor em menos de 5 minutos e contenção automática em menos de 15 minutos para incidentes com playbook definido, conforme o IR.5.5.

6. Caso Exemplificado: Intrusão com 47 Dias de Dwell Time

O caso ilustra como cada fase do tempo se acumula. Com base em relatório tático sobre um grupo que abusa de ferramentas nativas do Windows para movimento lateral, um hunt testou a hipótese de execuções atípicas de wmic originadas de processos que não são ferramentas administrativas legítimas. A busca revelou execuções suspeitas em três estações e confirmou uma intrusão ativa há 47 dias, com persistência discreta e movimento lateral lento, exatamente o padrão que nenhuma regra de alerta havia flagrado.

A aritmética do caso é a lição. Telemetria completa teria encurtado a fase invisível, porque o sinal existia desde o dia 3; uma única regra Sigma bem calibrada teria reduzido o dwell time em aproximadamente 40 dias; o hunting em cadência mensal teria limitado o pior cenário a cerca de 30 dias mesmo sem regra. Nenhum controle sozinho resolveria, e a combinação é exatamente a proposta da esteira: o incidente só foi encerrado porque detecção proativa, triagem e resposta integrada atuaram juntas no dia da descoberta.

O caso ainda tinha duas consequências de segunda ordem que merecem registro. A busca retroativa pela mesma técnica em todo o histórico disponível, conduzida como hunt de confirmação, verificou que nenhum outro host apresentava o padrão, transformando o achado em verificação de escopo. E o par de detecções derivadas do incidente, uma para a persistência e outra para o uso atípico de wmic, passou a integrar o catálogo do DET com teste de regressão, garantindo que a mesma cadeia não comprasse 47 dias de silêncio novamente.

7. Implementação e Salvaguardas por Nível

A progressão exige carimbos confiáveis antes de exigir velocidade, e por isso o IR.5.1 é pré-requisito de tudo: métrica sem data honesta de comprometimento estimado é dashboard decorativo. O IR.5.4 conecta a resposta à simulação, e o IR.5.5 só deve ser operado com os guardrails do AUT.5 maduros, porque contenção automática em 15 minutos sem lista de isenção e rollback testado acelera tanto o acerto quanto o erro.

8. Erros Comuns e Pontos de Atenção

• Datar comprometimento na detecção: MTTD fabricado com data de alerta esconde a verdadeira janela adversária e destrói a credibilidade da métrica perante quem entende; registre intervalo com método quando a origem for incerta.
• Meta agressiva sem telemetria: prometer MTTD de horas com parque sem log de processo é construir meta sobre dado inexistente; feche primeiro a lacuna de visibilidade.
• Média sem mediana e sem cauda: um incidente de 300 dias apaga doze de 3 dias; reporte as duas medidas e a distribuição, e investigue sempre a cauda.
• Otimizar só a resposta: contenção em minutos sobre detecção em semanas reduz MTTR e não o dano; o dwell time é soma, e a soma manda.
• Fila de confirmação invisível ao executivo: alertas gerados em tempo real que esperam dias por análise produzem dwell time de fila, e não de ferramenta; meça o tempo até a confirmação separadamente.
• Métrica sem revisão executiva: meta que ninguém cobra vira decoração; o IR.5.2 existe para transformar dwell time em compromisso de calendário da liderança.
• Hunting esporádico tratado como solução: hunt único impressiona relatório e não muda mediana; cadência é o que comprime o tempo até a detecção.
• Painel sem contexto de cobertura: relatório que exibe MTTD bonito e esconde o número de escapamentos descobertos por terceiros transforma métrica em marketing; reporte a origem de cada detecção junto com o tempo.

9. Integração com Outros Controles do Framework CTH

O IR.5 é o índice agregado da esteira, e por isso toca todos os grupos: a exposição reduzida com o INS.x encurta o caminho até o primeiro sinal, a telemetria do DAT.x define o que existe para ser visto, as detecções do DET e do AUT.3 reconhecem o padrão, as simulações do SIM.x provam onde o farol não alcança, os hunts do HNT procuram o que regra nenhuma cobre e a resposta do IR.1 ao IR.4 converte detecção em dano limitado e aprendizado. O MET.x consolida os carimbos em MTTD, MTTR e tempo de contenção, o GOV transforma a curva em decisão de investimento e o CTI.9 devolve ao ciclo de inteligência os TTPs que cada incidente revelou, mantendo a espiral de maturidade girando na direção certa: menos tempo para o adversário, mais tempo para a defesa.