LONDON (IT BOLTWISE) – Dwell time beschreibt die Zeitspanne zwischen dem Eindringen und dem Zeitpunkt, an dem Teams den Angriff wirksam eindämmen. Der Beitrag stellt MTTD und MTTR als zwei steuerbare Uhren in den Mittelpunkt und erklärt, warum reine Alarmflut die Erkennung nicht automatisch beschleunigt. Laut den genannten Kennzahlen liegt die globale Median-Dwell-Time bei 14 Tagen. Ein KI-natives SIEM soll dabei besonders helfen, Zusammenhänge früher zu erkennen, Untersuchungen zu bündeln und Routineaktionen zu automatisieren.
Wer Sicherheitsteams nach ihrer Detektion fragt, bekommt oft Antworten wie „Wie viele Alerts sehen wir pro Tag?“ oder „Wie breit ist unsere Log-Abdeckung?“. Der Kern des Problems liegt jedoch in einer anderen Zeitskala: der Dwell time, also der Zeitraum zwischen dem Moment, in dem ein Angreifer Fuß fasst, und dem Zeitpunkt, an dem die Sicherheitsmannschaft die Bedrohung tatsächlich eingrenzt. Genau dort entsteht wirtschaftlicher Schaden, weil Angreifer nicht im Volltext „bösartig“ wirken, sondern in kleinen Schritten lernen, Rechte erweitern und sich später unbemerkt zu sensibleren Systemen bewegen. In dem Beitrag wird ein industriebezogener Incident-Response-Report als Kontext genutzt: Die globale Median-Dwell-Time soll bei 14 Tagen liegen, nach 11 Tagen im Vorjahr, und damit eine Phase wieder aufnehmen, die zuvor fast ein Jahrzehnt lang als Verbesserung beschrieben wurde.
Technisch und operativ lässt sich die Dwell time nicht als ein einzelner Hebel behandeln. Der Text schlägt deshalb vor, die Betrachtung auf zwei separate Uhren zu zerlegen: Mean time to detect (MTTD) und Mean time to respond (MTTR). MTTD steht dafür, wie schnell das Team erkennt, dass etwas nicht stimmt; MTTR beschreibt, wie lange es dauert, bis die Untersuchung abgeschlossen ist und Containment-Maßnahmen greifen. Diese Zweiteilung ist vor allem dann nützlich, wenn man verstehen will, warum „mehr Tools“ häufig keine schnellere Reaktion bedeutet. Denn viele klassische Detektionsansätze liefern Ereignisse getrennt voneinander: ein ungewöhnlicher Login, später eine selten genutzte Serververbindung, danach eine Prozesskette und schließlich eine neue Kontenanlage. Ein einzelnes Signal ist oft noch kein Beweis; die entscheidende Erkenntnis entsteht erst, wenn das Team die Ereignisse über Identitäten, Host-Komponenten und Zeit hinweg zu einer zusammenhängenden Sequenz verknüpft.
Der Beitrag illustriert das anhand eines typischen Compromised-Account-Szenarios: Eine Anmeldung erfolgt von einer ungewöhnlichen Quelle, anschließend greift der Account auf einen Server zu, den er selten nutzt. Danach läuft auf diesem Zielsystem ein Prozess, und eine weitere Identität wird erstellt. Genau diese Art von „scheinbar harmlosen“ Einzelereignissen erklärt, warum die Dwell time in der Praxis hoch bleibt: Die Beweiskette existiert, aber sie verteilt sich über Tausende von Events und mehrere Systeme. Selbst wenn einzelne Regeln oder Korrelationen zuverlässig Alarm schlagen, müssen Analysten in der Regel manuell herausfinden, ob die Alarme zusammengehören, welches Timing zählt und welche der vielen Spuren wirklich entscheidend ist. Wirtschaftlich betrachtet ist das die Stelle, an der Stunden zu Tagen werden: Jede zusätzliche Recherche- und Koordinationsrunde verschiebt die Containment-Zeit, selbst wenn die technische Detektion an sich funktioniert.
Ein KI-natives SIEM soll die Arbeitsweise in genau diesem Pfad verändern. Nicht im Sinne „KI oben drauf“, sondern durch die Integration von KI in den gesamten Workflow von Detektion bis Untersuchung: Zusammenhänge zwischen verwandten Signalen sollen früher sichtbar werden, um aus schwachen Indikatoren eine belastbare Sequenz zu machen. Ebenso wird betont, dass KI die Ermittlungszeit reduzieren kann, indem sie Kontext bündelt und relevante Evidenz zusammenfasst, sodass Analysten nicht bei Null anfangen. Daneben geht es um Priorisierung: Sicherheitsteams können nicht jede Meldung gleich behandeln, und wenn KI die Wahrscheinlichkeit eines höheren Impact früh besser einordnet, rutschen kritische Fälle eher nach vorn. Schließlich soll auch die Reaktionsphase profitieren, weil bei ausreichender Evidenz automatisierte Workflows genehmigte Schritte einleiten können, etwa das Isolieren von Endpoints oder das Deaktivieren von Konten, statt jede Maßnahme als manuelle Handarbeit zu verzögern.
Für die Business-Perspektive liefert der Text mehrere konkrete Kennzahlen, die die Zeitdimension greifbar machen. Laut dem erwähnten „Cost of a Data Breach“-Bericht beläuft sich die durchschnittliche Gesamtkostenhöhe einer Breach-Instanz global auf 4,99 Mio. USD; gleichzeitig nennen die Angaben eine durchschnittliche Spanne von 247 Tagen bis zur Identifikation und Eindämmung. Bei Verläufen, die länger als 200 Tage dauern, steigen die durchschnittlichen Kosten auf 5,65 Mio. USD; frühere Abschlüsse sollen dagegen bei 4,32 Mio. USD liegen. Ergänzend wird auf einen „Cybersecurity Outlook“ verwiesen, in dem von rund 40% der Unternehmen die Rede ist, die nach einem Sicherheitsvorfall mindestens einen vollen Tag Ausfallzeit im Betrieb meldeten. Die Verbindung zur Dwell time ist dabei logisch: Je später die Containment-Phase startet, desto länger kann der Angreifer weitere Konten kompromittieren, zusätzliche Systeme erkunden und näher an kritische Daten heranrücken.
Was in der Praxis wichtig bleibt, ist die Messmethodik. Der Beitrag warnt davor, „Pro Stunde“ zu argumentieren, wenn die Datenbasis keine belastbare Präzision hergibt; ein einfacheres Modell soll helfen: Messen, wo im aktuellen Betrieb MTTD und MTTR entstehen, und dann prüfen, welcher Anteil sich durch Automatisierung oder bessere Priorisierung verkürzen lässt. Das kann bedeuten, dass sich ein Teil der zwei Stunden Analystenzeit, die in Kontextaufbereitung fließt, durch KI-gestützte Zusammenfassungen reduzieren lässt. Oder dass eine Warteschlange, in der wichtige Alerts vier Stunden liegen, durch bessere Einordnung schneller abgearbeitet wird. Ebenso wird die Abhängigkeit der Containment-Phase adressiert: Wenn mehrere Teams manuell abstimmen müssen, kann der Engpass im Zusammenspiel liegen, nicht in der reinen Detektionslogik. Entscheidend ist laut Text zudem der Blick über Durchschnittswerte hinaus: Starke Durchschnitts-MTTD-Werte können verdecken, dass wenige schwere Intrusionen erst nach Tagen sichtbar werden. Deshalb sollen Teams nicht nur „headlines“ tracken, sondern die Zeit zwischen dem ersten relevanten Signal und dem Start der Untersuchung, die Dauer der Kontextsuche und die Wartezeit bis Entscheidungen manuell umgesetzt werden.
In Summe dreht sich die Aussage auf ein sehr operatives Testdesign: Security-Leader sollen MTTD und MTTR vor dem Rollout eines KI-nativen SIEM erheben, danach die Zeitverluste in den einzelnen Stufen identifizieren und die Messung erneut durchführen, sobald der Workflow umgestellt ist. Das Ziel ist nicht, möglichst viele KI-Funktionen zu aktivieren, sondern die Gesamtstrecke vom ersten sinnvollen Signal bis zur Eindämmung zu verkürzen – Schritt für Schritt, „hour by hour“. Für die Cyber-Resilienz zählt am Ende weniger, wie viele Events ein System verarbeitet, sondern wie schnell ein Angreifer daran gehindert wird, die nächste Eskalationsstufe zu erreichen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Dwell Time senken: So macht ein KI-natives SIEM MTTD und MTTR messbar" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Dwell Time senken: So macht ein KI-natives SIEM MTTD und MTTR messbar" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Dwell Time senken: So macht ein KI-natives SIEM MTTD und MTTR messbar« bei Google Deutschland suchen, bei Bing oder Google News!