Il tempo di breakout è il periodo tra il primo compromesso riuscito di un attaccante e il momento in cui inizia il movimento laterale all'interno di una rete. In pratica, misura quanto rapidamente un punto d'appoggio si trasformi in un incidente interno più ampio. Un tempo di breakout breve significa che il difensore ha pochissimo margine per rilevare l'intrusione prima che l'attaccante inizi a raggiungere altri host, account o risorse cloud.
Questo termine è importante perché il movimento laterale è spesso il punto in cui un problema contenuto diventa una violazione grave. Gli attaccanti cercano di ridurre il tempo di breakout automatizzando la ricognizione, l'uso delle credenziali e l'esplorazione interna; i difensori cercano di allungarlo tramite avvisi rapidi, telemetria centralizzata, segmentazione, principio del privilegio minimo e controlli zero trust. Una forte visibilità sui dati di identità, endpoint e rete può rivelare i segnali iniziali che distinguono una compromissione isolata da una propagazione attiva.