Il tempo di contenimento è il periodo tra il rilevamento di un incidente di sicurezza e il suo isolamento completo, in modo che non possa più diffondersi. Misura quanto rapidamente i difensori possono interrompere account compromessi, host, percorsi di rete o servizi cloud dopo la scoperta di un’intrusione.
Questa metrica è importante perché più a lungo un attaccante rimane attivo, maggiori sono i danni che può causare: distribuire ransomware, rubare dati, muoversi lateralmente o abusare dell’accesso fidato di terze parti. In pratica, un tempo di contenimento più breve dipende di solito da playbook chiari di risposta agli incidenti, revoca rapida delle identità, segmentazione della rete, isolamento degli endpoint e triage degli avvisi. Negli attacchi moderni, l’ingegneria sociale e l’abuso dell’accesso remoto possono rendere più difficile il contenimento perché un login valido può sembrare legittimo finché non vengono applicati controlli aggiuntivi. L’automazione difensiva e procedure di risposta ben collaudate aiutano a ridurre il tempo di contenimento e a limitare il raggio d’impatto di una violazione.