Temps de détection des intrusions : ce que montrent les rapports publics
- Les grands rapports ne mesurent ni la même durée ni le même échantillon
- La tendance de long terme est nette : les intrusions sont détectées beaucoup plus vite qu'il y a dix ans
- Le rançongiciel raccourcit mécaniquement le délai, car l'attaquant se révèle
- Le bon indicateur est celui que l'on mesure soi-même, incident par incident
Combien de temps un attaquant reste-t-il dans un système avant d’être repéré ? La question est simple, les réponses publiées le sont beaucoup moins. Selon le rapport consulté, les délais de détection des intrusions se comptent en jours ou en centaines de jours. Cette synthèse explique d’où viennent ces écarts, ce que l’on peut raisonnablement en conclure, et comment s’en servir pour piloter sa propre sécurité.
Deux familles de chiffres qui ne mesurent pas la même chose
Deux publications annuelles dominent les citations. Elles sont sérieuses toutes les deux, mais elles ne mesurent pas la même grandeur.
| Rapport | Ce qui est mesuré | Échantillon | Ordre de grandeur récent |
|---|---|---|---|
| M-Trends (Mandiant, groupe Google) | Durée médiane de présence de l’attaquant avant détection (« dwell time ») | Incidents traités par les équipes de réponse de Mandiant | Environ dix jours en médiane mondiale pour les incidents de 2023 (édition 2024) |
| Cost of a Data Breach (IBM, étude menée par le Ponemon Institute) | Durée moyenne du cycle de vie d’une violation : identification puis confinement | Organisations ayant subi une violation de données, interrogées chaque année | 258 jours au total dans l’édition 2024 |
Les deux chiffres ne se contredisent pas. Le premier est une médiane, peu sensible aux cas extrêmes ; le second est une moyenne, tirée vers le haut par les violations restées longtemps invisibles. Le premier s’arrête à la détection ; le second inclut le confinement. Les échantillons, enfin, n’ont rien de commun : des incidents assez graves pour justifier une intervention spécialisée d’un côté, des violations de données déclarées par des organisations interrogées de l’autre.
Comparer le « dwell time » d’un rapport avec le délai d’identification d’un autre revient à comparer une distance et une durée. Citer un chiffre sans sa définition et son échantillon induit le lecteur en erreur.
La tendance de long terme
Si l’on suit une même série dans le temps, la tendance est nette. Au début des années 2010, les éditions de M-Trends faisaient état de durées médianes de présence de plusieurs centaines de jours, parfois supérieures à un an. Elles sont passées à quelques semaines à la fin de la décennie, puis autour de dix jours au milieu des années 2020. L’étude d’IBM montre, sur sa propre série, une baisse plus lente mais réelle du cycle de vie moyen.
Trois explications reviennent dans les rapports eux-mêmes.
- La généralisation des outils de détection sur les postes et les serveurs (EDR) et la centralisation des journaux ont rendu visibles des comportements qui passaient inaperçus.
- L’essor des centres de supervision, internes ou externalisés, a introduit une surveillance continue là où l’analyse se faisait après coup.
- Le rançongiciel a changé la nature des attaques : l’attaquant finit par se révéler lui-même en chiffrant les données et en réclamant une rançon. Ces incidents, nombreux, raccourcissent mécaniquement la durée médiane.
Ce dernier point invite à la prudence. Une partie de l’amélioration apparente ne tient pas à de meilleures défenses, mais à des attaques plus bruyantes. Les rapports qui distinguent les incidents avec et sans rançongiciel montrent d’ailleurs des durées sensiblement plus longues pour les intrusions discrètes, notamment l’espionnage.
Un délai de détection moyen qui baisse ne dit pas que les intrusions discrètes sont mieux repérées ; il peut dire seulement que les attaques bruyantes sont plus nombreuses.
Qui détecte : l’indicateur souvent oublié
Au-delà de la durée, M-Trends distingue l’origine de la détection : l’organisation elle-même, ou un tiers (un partenaire, une autorité, un chercheur, voire l’attaquant qui réclame une rançon). Les détections internes sont, dans ses séries, associées à des durées de présence plus courtes que les notifications externes. Pour un dirigeant, c’est sans doute l’enseignement le plus utile : être prévenu par quelqu’un d’autre signifie presque toujours que l’attaquant a eu davantage de temps.
Ce que l’on sait moins
Les rapports publics ont des angles morts qu’il faut garder en tête.
- Les intrusions jamais détectées n’entrent dans aucune statistique, par définition. Les durées publiées sont celles des attaques découvertes.
- Les petites organisations sont peu représentées dans les échantillons des grands prestataires de réponse à incident.
- Les écarts régionaux existent, mais les échantillons par région sont parfois trop petits pour être interprétés avec assurance. Les données sur l’Afrique francophone, en particulier, restent rares.
- La date de début d’une intrusion est une estimation reconstruite après coup, avec une marge d’incertitude.
Ce que cela change avec NIS 2
La directive NIS 2 impose aux entités concernées une alerte précoce dans les 24 heures suivant la prise de connaissance d’un incident important, une notification dans les 72 heures, puis un rapport final. Ces délais courent à partir de la détection. Une organisation qui détecte tard sera donc dans les temps pour notifier, mais aura laissé à l’attaquant des jours ou des semaines d’avance. La conformité aux délais de notification ne dit rien de la qualité de la détection.
Mesurer son propre délai
Le chiffre qui compte est le vôtre. Il se construit incident après incident, et exercice après exercice.
- Dater chaque incident : début estimé, détection, confinement, rétablissement. Quatre dates, consignées dans le registre des incidents.
- Noter l’origine de la détection : outil interne, utilisateur, prestataire, tiers externe.
- Exercer la détection : des tests d’intrusion ou des exercices de type « équipe rouge » mesurent le temps que mettent vos équipes à repérer une activité simulée.
- Suivre la tendance sur plusieurs trimestres plutôt que le chiffre isolé, et la présenter au comité de direction avec sa définition.
Les rapports publics montrent une nette amélioration des délais de détection en dix ans, en partie due aux outils, en partie à la nature des attaques. Ils ne remplacent pas la mesure de votre propre délai, ni la question décisive : qui a détecté l’incident ?
Le registre des incidents et ses indicateurs trouvent leur place dans le dispositif de gouvernance ; le dossier NIS 2 détaille les obligations de notification. L’expertise cybersécurité et conformité de DOSOBE peut aider à mettre en place ces mesures.
Sources
- Mandiant (Google Cloud), M-Trends, rapport annuel, éditions successives dont l’édition 2024.
- IBM Security et Ponemon Institute, Cost of a Data Breach Report, édition 2024.
- Directive (UE) 2022/2555 du 14 décembre 2022 (NIS 2), article 23 sur les obligations d’information.
- ENISA, rapports annuels sur le paysage des menaces (Threat Landscape).
Questions fréquentes
Qu'appelle-t-on « dwell time » ?
C'est la durée de présence d'un attaquant dans un système avant sa détection. Le rapport M-Trends de Mandiant la calcule entre le début estimé de l'intrusion et sa découverte, sur les incidents traités par ses équipes.
Pourquoi l'étude d'IBM donne-t-elle des délais beaucoup plus longs ?
Parce qu'elle mesure le cycle de vie complet d'une violation de données, identification puis confinement, sur un autre échantillon d'organisations. Ce n'est pas la même grandeur que la durée de présence avant détection.
Quel délai de détection viser ?
Il n'existe pas de norme universelle. L'objectif utile est de réduire son propre délai, mesuré sur ses incidents et ses exercices, et de s'assurer que la détection vient de l'intérieur plutôt que d'un tiers.
Les obligations de notification changent-elles quelque chose ?
Oui. NIS 2 prévoit une alerte précoce dans les 24 heures suivant la prise de connaissance d'un incident important. Ce délai ne court qu'à partir de la détection, ce qui rend la détection elle-même d'autant plus décisive.