● Detecção e resposta a incidentes · Leitura de 12 min

Vinte e nove minutos. Foi o tempo médio, em 2025, entre um atacante conseguir o primeiro acesso a um ambiente e se mover para outro sistema da rede, segundo o 2026 Global Threat Report da CrowdStrike. No caso mais rápido observado, foram 27 segundos. Se o alerta do primeiro acesso só é lido na manhã seguinte, a janela já fechou há horas.

O que é breakout time

Breakout time é o tempo entre o acesso inicial de um atacante a um ambiente e o primeiro movimento lateral para outro sistema. A métrica é acompanhada pela CrowdStrike, parceira da Infomach na linha de endpoint, no relatório anual de ameaças, e funciona como o prazo que a defesa tem para agir.

Movimento lateral é o passo seguinte ao primeiro acesso: o atacante usa a máquina ou a conta comprometida para alcançar outros servidores, contas e dados. Enquanto ele está num ponto só, conter o incidente costuma significar isolar uma máquina e bloquear uma conta. Depois do movimento lateral, a pergunta passa a ser quantos sistemas ele já alcançou.

Os números do 2026 Global Threat Report

O relatório, publicado em 24 de fevereiro de 2026, cobre os ataques observados ao longo de 2025. Os números centrais estão no resumo oficial da CrowdStrike:

A tendência é de aceleração. Em entrevista ao Dark Reading, Adam Meyers, da CrowdStrike, lembrou que poucos anos atrás o breakout time médio era de 62 minutos. Na mesma reportagem, um dos casos citados mostra o atacante começando a exfiltrar dados quatro minutos depois de entrar.

Na nuvem, o padrão se repete: as intrusões de adversários com foco em cloud cresceram 37%, e o abuso de contas válidas respondeu por 35% dos incidentes em nuvem, segundo o mesmo relatório.

Por que ataque sem malware muda a detecção

Ataque sem malware é a intrusão em que o atacante não instala nenhum arquivo malicioso: ele usa o que já é permitido no ambiente. Pelo relatório da CrowdStrike, foi o caso de 82% das detecções de 2025, por três caminhos principais.

Sem arquivo malicioso, não há assinatura para o antivírus reconhecer. O que denuncia o ataque é o comportamento: um login fora do padrão, uma conta que acessa o que nunca acessou, uma ferramenta administrativa usada por quem não administra nada. Detecção por comportamento é comparar cada ação com a linha de base do usuário, da máquina e do horário, e gerar alerta quando algo foge dela.

As três etapas dentro dos 29 minutos: perceber, decidir, conter

Para parar um ataque antes do movimento lateral, três coisas precisam acontecer dentro da janela. Se qualquer uma delas depende de alguém chegar ao escritório, as outras duas não adiantam.

O que monitorar entre o primeiro acesso e o movimento lateral

Sem malware, a lista de sinais é de comportamento. Os pontos abaixo cobrem técnicas comuns de acesso e movimento lateral catalogadas no MITRE ATT&CK, a base pública de táticas e técnicas de ataque mantida pela MITRE.

Some a isso as integrações SaaS: um aplicativo novo que recebe permissão para ler e-mails ou arquivos da empresa merece a mesma atenção de um login estranho.

Dois casos reais e anônimos do SOC da ElixGuard

Os sinais da tabela não são teóricos. Estes dois casos foram detectados pelo SOC da ElixGuard, a plataforma de detecção e resposta da Infomach, em clientes que não são identificados.

O primeiro caso é um exemplo de perceber: nenhuma das três contas existia por tempo suficiente para alguém notar olhando uma lista de usuários. O segundo mostra conter sem esperar ninguém acordar: a decisão de bloquear já estava tomada antes de a conexão acontecer.

Quem decide de madrugada

A etapa que mais trava não costuma ser técnica: é saber quem pode apertar o botão às 3h. Uma matriz simples, combinada antes do incidente, resolve a maior parte dos casos. Use o modelo abaixo como ponto de partida e ajuste aos seus sistemas.

O ponto central é a última coluna. Para cada ação, alguém precisa poder agir sem esperar outra pessoa acordar. Se a resposta for "ninguém", a conta dos 29 minutos não fecha.

A mesma lógica vale para qualquer setor. Na indústria, o movimento lateral é o caminho entre a rede corporativa e a linha de produção, como mostramos em Como um ataque de ransomware paralisa uma linha de produção. No varejo, "consigo detectar movimento lateral às 3h de um sábado de pico?" é uma das oito perguntas do checklist de segurança para a Black Friday 2026.

Autoavaliação: cinco perguntas sobre os seus 29 minutos

Marque só o que você consegue comprovar hoje, não o que acredita estar funcionando.

Cada item sem marcar é tempo que o atacante ganha.

Como encurtar a janela com um parceiro só

Perceber, decidir e conter em menos de 29 minutos, de madrugada e no fim de semana, exige gente, processo e automação funcionando juntos. A Infomach cobre as três etapas como parceiro único de cibersegurança, cloud gerenciada, serviços gerenciados e IA: são mais de 26 anos de mercado, mais de 600 clientes gerenciados e mais de 100 mil endpoints protegidos.

No endpoint, a Mach Security, linha da Infomach com tecnologia CrowdStrike, detecta o comportamento suspeito na máquina e permite isolá-la da rede. A detecção e resposta 24x7 fica com a ElixGuard: SOC com nível 4 de maturidade, 5 agentes de IA, resposta automática em menos de 1 minuto e cobrança em reais por ativo, sem cobrança por EPS ou por ingestão de dados. Para saber onde a sua empresa está hoje, a Avaliação NIST CSF 2.0 gratuita entrega a nota de risco e a ordem do que corrigir primeiro.

Perguntas frequentes sobre breakout time

Fontes

• CrowdStrike: 2026 Global Threat Report, resumo oficial no blog da CrowdStrike (24/02/2026)
• Dark Reading: Attackers Now Need Just 29 Minutes to Own a Network (fevereiro de 2026)
• MITRE ATT&CK: técnicas T1078, T1021, T1021.002, T1133, T1136.001 e T1098
• ElixGuard: casos anônimos de detecção do SOC