Într-un Security Operations Center (SOC), metricile precum MTTD (Mean Time to Detect) și MTTR (Mean Time to Respond) nu sunt doar cifre pentru rapoarte, ci termometrele sănătății tale operaționale. Ele îți arată cât de rapid identifici o amenințare și cât de eficient o elimini, influențând direct costurile unui breach și reputația companiei. În practică, un MTTR mare poate însemna că analistul este copleșit de alerte false sau că procesele de investigație sunt defectuoase. Înțelegerea acestor indicatori te ajută să prioritezi munca și să demonstrezi valoare echipei prin îmbunătățiri continue.
Concepte cheie
- MTTD (Mean Time to Detect): Timpul mediu necesar pentru a identifica o incidentă de securitate de la momentul apariției acesteia până când este semnalată de sistem sau de către un analist.
- MTTR (Mean Time to Respond/Remediate): Timpul mediu petrecut pentru a conține, eradică și recupera sistemul după ce incidentul a fost detectat, măsurând eficiența reacției.
- Volumul de Alerte: Numărul total de evenimente generate de SIEM sau alte tool-uri; un volum necontrolat duce la „alert fatigue”, unde analiștii ratează amenințări reale din cauza excesului de zgomot.
- False Positives: Alertele care indică o activitate malițioasă dar sunt, de fapt, comportamente legitime ale utilizatorilor sau ale sistemelor, contribuind negativ la volumul inutil.
- True Positives: Alertele corecte care confirmă o activitate malițioasă reală, fiind singurele care justifică timpul investit în investigație și remediere.
- SLA (Service Level Agreement): Acordul intern sau extern care definește timpii maximi acceptați pentru detecție și răspuns, servind ca benchmark pentru performanța echipei.
Exemplu practic
Imagină-ți un scenariu în care un script de phishing trimite emailuri către angajați.
- Detecție: SIEM-ul generează o alertă la ora 10:00 când un utilizator dă click pe link.
- Triage: Un analist verifică alerta la 10:15 (MTTD = 15 minute).
- Răspuns: Analistul izolează endpoint-ul și resetează parola la 10:45.
- Calcul: MTTR = 45 minute (de la detectare la remediere).
Dacă volumul de alerte este de 10.000/zi, dar doar 50 sunt true positives, echipa trebuie să automatizeze triajul pentru primele 9.950 pentru a nu epuiza resursele umane.
Greșeli frecvente
- Ignorarea contextului: Măsurarea timpului doar pe baza logurilor automate, fără a lua în calcul timpul de așteptare a informațiilor suplimentare de la utilizatori.
- Optimizarea artificială a metricilor: Clasificarea greșită a incidentelor ca „false positive” pentru a reduce volumul de alerte și a îmbunătăți artificial metricile de performanță.
- Neglijarea alert fatigue: Supraîncărcarea analiștilor cu alerte de prioritate scăzută, ceea ce crește riscul de eroare umană și mărește MTTD-ul pe termen lung.
Întrebări de interviu
Cum interpretezi un MTTR în creștere constantă? Un MTTR în creștere sugerează fie complexitatea incidentelor a crescut, fie că procesele de remediere sunt ineficiente, lipsesc playbook-urile sau echipa are nevoie de mai mult training.
De ce este volumul de alerte un indicator periculos dacă nu este filtrat? Un volum mare nefiltrat maschează adevărata rată de detecție și duce la burnout-ul echipei, făcând imposibilă menținerea unui MTTD scăzut.
Exercițiu
Analizează un set de date simulat (CSV) cu 100 de incidente. Calculează MTTD și MTTR medii. Identifică top 3 cauze care au dus la cele mai mari timpi de răspuns și propune o soluție de automatizare sau optimizare pentru fiecare. Scopul este să exersezi identificarea gâturilor de sticlă (bottlenecks) în procesul de răspuns.