MTTD (Mean Time to Detect) é o tempo médio entre o início de um incidente e a sua detecção. MTTR (Mean Time to Respond) é o tempo médio entre a detecção e a contenção. Quanto menores, menor o dano causado por um ataque. Ao contratar um SOC ou um provedor de MDR, peça sempre a definição exata de cada métrica, porque o "R" muda de significado de fornecedor para fornecedor.
Como calcular
MTTD = soma dos tempos até a detecção ÷ número de incidentes no período. MTTR = soma dos tempos entre detecção e contenção ÷ número de incidentes. Exemplo ilustrativo: três incidentes detectados em 2, 4 e 6 horas geram MTTD de 4 horas.
As variações do "R"
| Sigla | O que mede |
|---|---|
| Mean Time to Respond | Da detecção até a primeira ação de resposta ou contenção |
| Mean Time to Remediate | Da detecção até a correção da causa |
| Mean Time to Recover | Da detecção até o serviço voltar ao normal |
| Mean Time to Resolve | Da detecção até o encerramento do incidente |
O que distorce as métricas
- Média puxada por poucos casos: acompanhe também a mediana e os percentis por severidade.
- Incidentes nunca detectados: não entram na conta e fazem o MTTD parecer melhor do que é.
- Relógio no lugar errado: contar a partir do alerta, e não do início do ataque, subestima o MTTD.
- Misturar severidades: um incidente crítico e um de baixa severidade não devem pesar igual.
Outros KPIs de um SOC
- MTTA (tempo médio até o alerta ser triado)
- Taxa de falsos positivos
- Cobertura de fontes de log e de técnicas do MITRE ATT&CK
- Percentual de incidentes contidos automaticamente
- SLA cumprido por severidade
Como cobrar métricas de um provedor de MDR
- Definição de cada métrica por contrato, incluindo o que inicia e o que para o relógio.
- Metas separadas por severidade.
- Relatório mensal com média, mediana e casos fora do SLA.
- Revisão trimestral das detecções e da cobertura.
Como o CyberWatch mede: quatro relógios
| Relógio | De onde até onde | Dono |
|---|---|---|
| MTTA (reconhecimento) | Do alerta criado até o analista assumir o caso | SOC |
| MTTN (notificação) | Do alerta criado até o cliente ser notificado, já com a orientação de contenção | SOC |
| MTTC (contenção) | Do alerta criado até a propagação interrompida | Cliente ou Tripla |
| MTTR (resolução) | Do alerta criado até o caso resolvido | Compartilhado |
Separar os relógios deixa claro quem é responsável por cada etapa. No CyberWatch, o MTTN é o indicador principal do SOC, e cada relógio é acompanhado caso a caso no portal, com as metas definidas em contrato.
Exemplo real
No case da ValeCard, a operação com CyberWatch (MDR) e SOC 24x7 da Tripla reduziu em 80% o MTTR.
Quer medir e reduzir MTTD e MTTR na sua operação? Conheça o CyberWatch, SOC 24x7 da Tripla.
