Среднее время реагирования (MTTR)

Проще говоря, «Среднее время реагирования (MTTR)» помогает команде отделить значимое событие от фонового шума, собрать контекст и выбрать следующий шаг аналитика. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

В практике ИБ термин «Среднее время реагирования (MTTR)» используют так: его используют при подключении телеметрии, разработке правил обнаружения, разборе срабатываний и эскалации инцидентов. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

При разборе цепочки событий аналитик SOC обращается к понятию «Среднее время реагирования (MTTR)»: проверяет контекст актива и учётной записи, подтверждает признак и выбирает действие по сценарию реагирования.

• Время присутствия злоумышленника (dwell time)Dwell time — время, в течение которого злоумышленник сохраняет присутствие в среде до обнаружения или устранения.
• Покрытие детектированияПокрытие детектирования — степень соответствия действующих источников данных и правил актуальным сценариям угроз.
• Обнаружение и реагирование на конечных точках (EDR)EDR — средства обнаружения и реагирования на конечных точках, использующие телеметрию рабочих станций и серверов.

1. Задать точки отсчётаОпределяют, от какого события до какого действия измеряется время реагирования.
2. Собрать временные отметкиДанные получают из SIEM, тикетов и инструментов реагирования без ручных разрывов.
3. Рассчитать распределениеПомимо среднего учитывают медиану, выбросы, приоритет и тип инцидента.
4. Устранить задержкиРазбор показывает, где нужны автоматизация, компетенции или изменение процесса.