Dwell Time

זמן שהייה (dwell time) הוא מספר הימים שתוקף שוהה בתוך רשת שנפרצה לפני שמישהו מבחין בו. כרגע החציון העולמי הוא 14 ימים, כפי שנמדד לאורך 2025 בדוח M-Trends 2026 של Mandiant. המספר הבודד הזה הוא בדיוק המקום שבו מתחילה הבלבול.

סביר שראיתם אותו מצוטט בשלוש דרכים שונות החודש: 14 ימים בדוח אחד, 241 באחר, ומשהו בסביבות 200 במחקר שאתם זוכרים בערך. אי אפשר שכולם יהיו הנתון העדכני, והם לא מסכימים כי הם לא מודדים את אותו הדבר. העמוד הזה מסדר מה שייך למה: ההגדרה המדויקת, המסלול המלא של המספר לאורך השנים, איך הוא קשור לשעונים האחרים שתפגשו, ומה באמת עושים איתו.

מהו זמן שהייה בסייבר?

זמן שהייה הוא מספר הימים שתוקף שוהה בתוך סביבה שנפרצה לפני שמתגלים אותו. Mandiant, שדוחות ה-M-Trends השנתיים שלה הם המקור הרגיל לנתון, מדווחת אותו כחציון ולא כממוצע, והשעון נעצר בזיהוי ולא בנקודה שבה מסלקים את התוקף. החציון העולמי הנוכחי הוא 14 ימים.

ההגדרה הזו צרה יותר ממה שרוב המילונים מודים, ושני הגבולות חשובים. השעון מתחיל ברגע החדירה ונעצר ברגע שמתגלים את הפריצה, כך שזמן שהייה מודד את פער הזיהוי ותו לא. Mandiant מנסחת את זה בבירור: זמן שהייה הוא "מספר הימים שתוקף נוכח בסביבה שנפרצה לפני שמתגלים אותו." המספר המדווח הוא חציון, נקודת האמצע של כל החדירות שנחקרו, כלומר מחציתן היו קצרות יותר ומחציתן ארוכות יותר. ממוצע היה נמשך כלפי מעלה בגלל קומץ חדירות שנמשכו שנים; החציון הוא המרכז הכנה יותר.

שתי הערות שוליים שומרות על ההגדרה מדויקת:

• אין תקן רשמי: למילון NIST אין בכלל ערך לזמן שהייה, כך שההגדרה העובדת היא זו שחברות תגובה לאירועים משתמשות בה, ולא הגדרה שאושרה על ידי ממשלה.
• סחיפה של ספקים: חלק מהמילונים מעבירים בשקט את קו הסיום, ומריצים את השעון "מהרגע שהם נכנסים עד שהם מסולקים," מה שכולל את כל שלב הניקוי ומנפח את המספר.

כשאתם משווים שני נתוני זמן שהייה, בדקו איפה כל אחד מהם עוצר את השעון.

הסבירו לי כאילו אני בן 10

דמיינו שמישהו מתגנב לבית שלכם בזמן שאתם בחוץ ומתחיל לגור בחדר האורחים. זמן שהייה הוא לא כמה זמן לוקח להוציא אותו. זה כמה ימים עוברים בין היום שהוא נכנס ליום שסוף סוף שמתם לב שהוא שם. אם הוא עבר לגור לפני שלושה שבועות ואתם מזהים אותו היום, אלה שלושה שבועות של זמן שהייה, בין אם תתקשרו למשטרה בחמש הדקות הבאות או בחמשת הימים הבאים. כל הנקודה של המספר היא שההבחנה היא החלק הקשה.

מהו זמן השהייה הממוצע ב-2025?

החציון העולמי הנוכחי של זמן שהייה הוא 14 ימים, שמכסה את שנת 2025, ופורסם בדוח M-Trends 2026 של Mandiant. זה עלייה מ-11 ימים בשנה שלפניה, שבעצמה הייתה עלייה מ-10 בשנה שלפני כן. שתי עליות רצופות, אחרי בערך עשור של ירידה עקבית.

הקשת הארוכה היא החלק שכמעט אף סיכום לא מראה לכם, ושווה לראות אותה במלואה כי היא ממסגרת מחדש את המספר הנוכחי. כל נתון למטה הוא חציון עולמי ממהדורת M-Trends של Mandiant (לשעבר FireEye) שדיווחה עליו:

מ-416 ימים ב-2011 עד שפל של 10 ב-2023, המגמה רצה בכיוון אחד במשך שנים. נתון 2023 היה הרצפה. ואז זה התהפך: 11 ימים ב-2024, ואז 14 ב-2025. (כמה שנים ביניים, כמו 2015, 2016 ו-2019, לא מוצגות כי לא ניתן היה לאמת אותן מול מקור ראשוני של Mandiant; הנקודות המאומתות למעלה מספיקות כדי לראות את הצורה.)

ההיפוך הזה הוא הסיפור שאף מילון מיושן לא מספר, וזו השאלה הבאה.

למה זמן השהייה עלה אחרי עשור של ירידה?

העלייה אמיתית אבל מתונה, ו-Mandiant זהירה לגבי הסיבה. זה "משקף כנראה תחכום גובר, במיוחד בחמיקה מהגנות," כותבת החברה, ושומרת על המילה "כנראה" כי עלייה של שנתיים היא אות, עדיין לא מגמה מבוססת.

מה משך את החציון כלפי מעלה

המנוע הברור ביותר הוא תמהיל החדירות. Mandiant מייחסת את העלייה "בעיקר לפעולות ריגול ארוכות טווח ולמבצעי עובדי IT של צפון קוריאה" במהדורה למנהלים שלה. חדירות סייבר-ריגול ותקריות של עובדי IT צפון-קוריאנים נמשכות הרבה יותר מהמקרה הטיפוסי: החציון בקטגוריה שלהן היה 122 ימים ב-2025, וכשיותר מחקירות השנה נופלות לדלי הזה, החציון הכולל נמשך כלפי מעלה. ההתפלגות זזה באותו כיוון, עם ירידה שולית בחדירות שנתפסו בתוך שבוע ומעבר לשהיות ארוכות יותר בין שבוע לשישה חודשים. הזנב הארוך ארוך עוד יותר: הדלת האחורית BRICKSTORM הגיעה לזמני שהייה של כמעט 400 ימים, וזה בעיה ישירה לחלון שמירת הלוגים הסטנדרטי של 90 יום, כי הראיות לגישה הראשונית נעלמות לפני שמישהו בכלל מחפש אותן.

המלכוד: מספר יורד מעולם לא היה ניצחון נקי

עכשיו החלק שמערער קריאה מנצחת של הירידה המוקדמת. ירידה בזמן שהייה מעולם לא הייתה ניצחון טהור של המגינים. Mandiant עצמה מציינת את הכופרה ככוח מוריד על המדד, ומציינת ש"גורמים שונים (כמו כופרה) עוזרים להוריד את זמן השהייה." המנגנון כמעט מעגלי: במתקפת כופרה, ה"זיהוי" הוא לעתים קרובות הודעת הכופר עצמה. ב-2025, יריבים הודיעו ליעד ב-44% ממקרי הכופרה, כלומר דרישת הסחיטה של התוקף עצמו היא מה שעוצר את השעון.

מספרי 2024 מראים כמה זה דוחס את הנתון. חציון זמן השהייה באותה שנה התפצל בחדות לפי מי שם לב לחדירה ראשון:

• 5 ימים כשהיריב הודיע לקורבן, בדרך כלל הודעת הכופר.
• 10 ימים כשהארגון מצא את החדירה מבפנים.
• 26 ימים כשגורם חיצוני הרים את הדגל.

גל של כופרה מהירה שמכריזה על עצמה גורם לחציון להיראות מצוין בלי שזיהוי בודד השתפר.

אז קראו את המספר בשני הכיוונים. עשור הירידה היה בחלקו מגינים שהפכו למהירים יותר ובחלקו מודל העסקים של הכופרה שמזהה את עצמו; עליית 2025 היא בחלקה מעבר לריגול חשאי עם זמן שהייה ארוך, ולא כישלון רחב של ההגנות. המדד זז עם כלכלת התוקפים ומקורות הזיהוי, לא רק עם מיומנות המגינים. שנתיים של עלייה הן המקסימום שהנתונים תומכים באמירה עליו, וזה לא לוח תוצאות.

האם זמן שהייה זהה ל-MTTD או ל-MTTR?

לא. זמן שהייה הוא אחד מחמישה שעונים שמצטטים לסירוגין ומודדים דברים שונים באמת, וזו הסיבה שנתון של 14 ימים ונתון של 241 ימים יכולים שניהם להיות נכונים. הטבלה מסדרת אותם.

שני אלה שמכשילים אנשים הכי הרבה הם MTTD ומספר ה-IBM. MTTD נשמע זהה לזמן שהייה וקשור אליו, אבל הוא ממוצע תפעולי פר-אירוע שצוות אבטחה עוקב אחריו על ההתראות שלו, בעוד שזמן שהייה מודד נוכחות של תוקף אחד על פני מערך נתונים של חדירות שנחקרו. דוח Cost of a Data Breach 2025 של IBM מדווח על הכותרת שלו כממוצע של 241 ימים כדי "לזהות ולבלום פריצה, כולל שחזור שירותים." זה שעון אחר (הוא רץ הרבה אחרי הזיהוי דרך הבלימה), מדד אחר (ממוצע, לא חציון), ואוכלוסייה אחרת (סקר של 600 ארגונים שנפרצו בכל סוגי הפריצות, מול מעורבויות תגובה לאירועים בחזית של Mandiant). אף אחד מהמספרים לא שגוי. הם תשובות לשאלות שונות, וציטוט של אחד במקום שבו שייך השני הוא הדרך המהירה ביותר לאבד קורא מומחה.

Breakout time, השעון שזז בכיוון ההפוך

Breakout time הוא השעון הרביעי, ושווה להכיר אותו כי הוא זז בכיוון ההפוך מזמן שהייה. CrowdStrike מגדירה אותו כזמן מפריצת המכונה הראשונה עד תנועה רוחבית למכונה שנייה, ודוח האיומים הגלובלי שלה ל-2026 מציב את ממוצע ה-breakout ב-eCrime על 29 דקות, עם המקרה המהיר ביותר שנצפה ב-27 שניות. זמן שהייה נמדד בימים; breakout time בדקות. הם מתארים שלבים שונים של אותה חדירה.

הערת כנות אחת על המדידה: אין נוסחה סטנדרטית שמזינים אליה את הלוגים שלכם. זמן שהייה הוא מדד שנגזר ממערך נתונים של תגובה לאירועים. מה ש-SOC באמת עוקב אחריו תפעולית הוא MTTD ו-MTTR בתוספת מקור הזיהוי. והנתונים הישנים שעדיין מסתובבים, ה-193 ימים, ה-56 ימים, ה"בערך שישה חודשים," הם מספרים מתים בלי מקור ראשוני עדכני מאחוריהם. כל נתון זמן שהייה ששווה לצטט נושא את השנה שלו ואת מהדורת הדוח שלו.

מה תוקפים באמת עושים בזמן שהם שוהים?

במהלך הימים או השבועות האלה, תוקף כמעט אף פעם לא יושב בחיבוק ידיים. ההתקדמות הטיפוסית היא הסלמת הרשאות, אחר כך גניבת פרטי הזדהות, אחר כך תנועה רוחבית כדי להגיע למערכות יקרות יותר, ואחר כך התבססות כדי שהגישה תשרוד אתחול או איפוס סיסמה. חלק גדול מזה משתמש בטכניקות Living off the Land, כלומר כלי מערכת מובנים במקום נוזקה בולטת, וזה בדיוק למה הפעילות מתמזגת עם ניהול רגיל ושעון השהייה ממשיך לרוץ.

מקרה מתועד: Volt Typhoon

המקרה המתועד הברור ביותר הוא Volt Typhoon, קבוצת תקיפה בחסות מדינה שסוכנויות אמריקאיות תיארו בחוות דעת משותפת של CISA. בחלק מסביבות הקורבנות, השחקנים שמרו על גישה "לפחות חמש שנים." החוות דעת מתעדת את הקצב בזמן השהייה באופן מוחשי: בחדירה אחת הקבוצה חילצה את מסד הנתונים של Active Directory (NTDS.dit) משלושה בקרי תחום לאורך תקופה של ארבע שנים, ובאחרת היא שלפה את אותו מסד נתונים פעמיים בתוך תשעה חודשים. ה-playbook שהיא מפרטת הוא הסטנדרטי שנעשה מפורש, כולל השגת פרטי הזדהות של מנהל מערכת דרך פגיעויות הסלמת הרשאות, תנועה רוחבית לבקרי תחום עם פרטי הזדהות תקפים, התבססות, ומחיקת לוגים ממוקדת כדי למחוק את העקבות תוך כדי תנועה.

מהיר ואיטי: שני קצוות הטווח

לא כל חדירה איטית. שני קצוות הטווח מתקיימים במקביל, וחשוב לסמן איזה נתון שייך למה. ה-breakout המהיר ביותר שנצפה בנתוני CrowdStrike ל-2026 היה 27 שניות; בחדירה אחת, הוצאת נתונים (exfiltration) התחילה ארבע דקות אחרי הגישה הראשונית, אם כי זה מקרה בודד ולא ממוצע. Unit 42 של Palo Alto Networks מדווחת שבהמקרים המהירים ביותר שחקרה, תוקפים עברו מגישה ראשונית להוצאת נתונים ב-72 דקות, פי ארבעה מהר יותר מהשנה שלפני כן, והיא מציינת שסחיטה מבוססת הצפנה בירידה כי יותר תוקפים מדלגים על הצפנה והולכים ישר לגניבת נתונים שקטה. תוקף מהיר יכול לגרום נזק אמיתי בתוך מספר זמן שהייה נמוך; החציון מתאר את אמצע ההתפלגות, לא את המקרה הגרוע ביותר שצריך לתכנן לפיו.

איך מגינים באמת מקצרים את זמן השהייה?

המנוף שמזיז את המספר הוא זיהוי, וקו מגמה אחד מראה שזה עובד. חלק החדירות שארגונים תפסו בעצמם, במקום שגורם חיצוני יגיד להם, עלה מ-43% ב-2024 ל-52% ב-2025, בהמשך לעלייה מ-46% עוד ב-2023. זיהוי פנימי חשוב כי חדירות שמתגלות מבפנים נוטות לשאת זמן שהייה קצר יותר מאלה שמודיעים עליהן מבחוץ, כך ששיפור הזיהוי שלכם דוחס ישירות את הפער.

כמה פרקטיקות תומכות בזה, ברמת החוזק שהראיות מאפשרות:

• ציד איומים (threat hunting) הופך דברים שהאוטומציה פספסה לזיהויים קבועים. בדוגמה אחת שפורסמה, צוות ציד "הכניס לייצור ברבעון הזה שתים-עשרה זיהויים אוטומטיים חדשים שמוצאים פעילות הוצאת נתונים בענן שפספסנו קודם." זה המנגנון: הציד מוצא פער, זיהוי חדש סוגר אותו לתמיד, אם כי אף מחקר ראשוני לא שם עליו נתון נקי של "ציד מקצר שהייה ב-N ימים," אז התייחסו בזהירות לטענות ספקים על מספר ספציפי.
• זיהוי התנהגותי מרוויח את מקומו כי תוקפים חיים על חשבון המערכת. סקר ציד איומים של SANS מצא טכניקות Living off the Land ב-76% מהתקפות מדינה, וכלי מבוססי חתימה לא מסמנים כלי ניהול לגיטימי; זיהוי ההתנהגות הוא מה שתופס אותה.
• סגירת פער הנראות: Unit 42 מעירה הערה חדה מהחקירות שלה: האותות בדרך כלל היו שם. "הראיות נמצאות בלוגים," אבל במהלך המתקפה הצוותים נאלצו לתפור אותן ממקורות מנותקים, מה שהאט את הזיהוי בחלון הקריטי המוקדם. איחוד הטלמטריה הזו הוא עבודת זמן שהייה.
• התאמת שמירת לוגים לזמני שהייה אמיתיים: אם BRICKSTORM יכולה לשבת כמעט 400 ימים והלוגים שלכם מתגלגלים החוצה ב-90, הרשומה של איך התוקף נכנס נעלמת לפני שהחקירה מתחילה. שמירה צריכה להיקבע מול זמני השהייה שנראים בפועל, לא מול ברירת מחדל.

כלי קטגוריה כמו NDR, EDR ו-MDR יכולים לקצר את נתיבי הזיהוי האלה, אבל האם פלטפורמה או שירות מנוהל מתאימים לצוות שלכם זו החלטה נפרדת עם פשרות משלה, ולא משהו שעמוד על זמן שהייה צריך להעמיד פנים שהוא מכריע.

תשובות מהירות

מהו זמן השהייה הקצר ביותר שנרשם על ידי APT? אין נתון קנוני בודד של "שהייה קצרה ביותר," והיזהרו מכל מקור שמצטט אחד. שיאי המהירות המאומתים מודדים שעונים שונים: ה-breakout המהיר ביותר שנצפה היה 27 שניות, הוצאת נתונים התחילה ארבע דקות אחרי הגישה בחדירה מתועדת אחת, ושרשרת הגישה-עד-הוצאה המלאה המהירה ביותר ש-Unit 42 חקרה הייתה 72 דקות. כל אחד הוא שלב אחר, ואף אחד מהם אינו "זמן שהייה."

מה היה זמן השהייה הממוצע בשנה נתונה? השתמשו בטבלת הקשת למעלה, ותמיד ציינו את מהדורת ה-M-Trends של השנה שאתם מתכוונים אליה: החציון העולמי היה 10 ימים ל-2023, 11 ל-2024, ו-14 ל-2025. ציטוט נתון של שנה בלי מהדורת הדוח שלה הוא הדרך שבה מספרים מיושנים נשארים במחזור.

תארכו את הנתון, תנו שם לשעון

שלושת המספרים מההתחלה מעולם לא היו בסתירה. ארבעה-עשר ימים הם החציון העולמי הנוכחי של זמן שהיית תוקף, שנמדד עד זיהוי (Mandiant M-Trends 2026). מאתיים ארבעים ואחד ימים הם ממוצע מחזור חיי הפריצה של IBM, שנמדד דרך בלימה. ו"משהו בסביבות 200" היה נתון שהייה אמיתי, מלפני בערך עשור. שעונים שונים, שנים שונות, כולם ניתנים לציטוט ברגע שאתם יודעים מה שייך למה.

המשמעת קטנה והיא כל הנקודה: מספר זמן שהייה בלי השנה שלו, בלי מהדורת הדוח שלו, ובלי השעון שהוא מודד הוא פולקלור, לא נתון. תנו שם לשלושתם כשאתם מצטטים אחד. אחר כך הפנו את המדד לסביבה שלכם: האם שמירת הלוגים שלכם שורדת את זמני השהייה שתוקפים באמת משיגים, ומי מזהה ראשון בארגון שלכם, הצוות שלכם, גורם חיצוני, או התוקף שמחזיק את הדלת פתוחה? אתם לא רוצים שהודעת הכופר תהיה אסטרטגיית הזיהוי שלכם. המספר זז בכל מחזור דוח, אז המיומנות העמידה היא לא לשנן 14 ימים; היא לדעת מה הוא סופר.