Una sequenza temporale dell'attacco è la sequenza e la durata delle fasi di un'intrusione, dall'accesso iniziale attraverso ricognizione, escalation dei privilegi, movimento laterale, raccolta dei dati ed esfiltrazione o sabotaggio. È importante perché i team di sicurezza non devono sapere solo cosa è successo, ma anche quanto rapidamente è successo e quali passaggi si sono sovrapposti.
Negli attacchi reali, una sequenza temporale breve può indicare automazione, una buona disciplina dell'operatore o l'uso di strumenti agentici che concatenano rapidamente le azioni. I difensori usano le sequenze temporali per individuare lacune nel rilevamento, misurare il dwell time e identificare dove un'intrusione avrebbe potuto essere interrotta. Velocità anomala, uso ripetuto di strumenti e attività degli account strettamente ordinate possono tutti suggerire che un attacco sia orchestrato anziché eseguito manualmente. Una sequenza temporale chiara aiuta i team a dare priorità al contenimento e a migliorare gli avvisi per le fasi più sensibili al tempo.