MTTD i MTTR — dlaczego czas wykrycia decyduje o skali incydentu

MTTD i MTTR mówią dużo o pracy zespołów bezpieczeństwa, ale ich znaczenie wykracza daleko poza SOC. Czas wykrycia, rozpoczęcia reakcji i przywrócenia działania po incydencie wpływa na biznes: finanse, płynność operacyjną i odporność na ryzyka. Cyberataków nie da się całkowicie uniknąć, ale dobrze zarządzane organizacje wiedzą, jak postępować z takimi zagrożeniami i ograniczać ich skutki. Dowiedz się, jakie znaczenie w tych procesach mają wskaźniki MTTD i MTTR.

Z tego artykułu dowiesz się:

• Czym jest MTTD i jak się go oblicza.
• Czym jest MTTR i jak się go oblicza.
• Jakie znaczenie mają wskaźniki MTTD i MTTR dla biznesu.
• Jak czas wykrycia, rozpoczęcia reakcji i przywrócenia działania wpływa na bezpieczeństwo firmy?
• Co może być powodem wysokiego MTTD i MTTR.
• Jak mierzyć skuteczność wykrywania i reagowania na incydenty w organizacji.
• Jak przygotować organizację na skuteczne monitorowanie zagrożeń.

Atak o 1:30, przywrócenie działania systemu o 11:00. Dlaczego to tyle trwało?

O godzinie 1:30, gdy w siedzibie firmy od dawna nie było nikogo, doszło do cyberataku. To był incydent typu ransomware. Napastnik przez długi czas mógł działać niezauważony. Zaszyfrował cenne pliki z danymi użytkowników i innymi wrażliwymi informacjami. Swobodnie przeszedł na wyższe poziomy systemu. Administrator zauważył problem dopiero gdy… przyszedł do siedziby firmy o 8:00. W firmie nie działał monitoring 24/7 – był aktywny tylko w godzinach pracy. Administrator natychmiast przystąpił do działania, ale czekało go dużo wyzwań. Udało mu się stopniowo izolować kolejne serwery, ale szkody miały naprawdę dużą skalę. System powrócił do normalnego działania dopiero o 11:00.

Czy tego ataku dałoby się uniknąć? Prawdopodobnie nie. Można było jednak zmniejszyć jego skalę, gdyby zagrożenie zostało w porę wykryte. Atakujący nie zdążyłby uzyskać dostępu do tak dużej ilości danych, a działanie systemu szybko wróciłoby do normy. To nie sam atak był problemem, ale długi czas wykrycia incydentu i reakcji ze strony SOC.

Czym jest MTTD – Mean Time to Detect?

MTTD (Mean Time to Detect) to średni czas potrzebny na wykrycie zagrożenia. Mierzy się go od momentu, w którym wystąpił incydent, do momentu, w którym wykrył go zespół ds. bezpieczeństwa. To wskaźnik techniczny, ale ma zastosowanie również przy podejmowaniu decyzji biznesowych.

Przykład:

W firmie w ostatnim czasie doszło do kilku incydentów:

• O godzinie 8:00 pracownik kliknął w złośliwy link, dając nieupoważnionym osobom dostęp do konta. System SIEM wygenerował alert dotyczący tego zdarzenia o godzinie 8:25.
• O godzinie 14:00 nastąpiła próba kradzieży danych firmowych poprzez konto administratora. Analityk SOC zauważył nietypowy transfer o godzinie 16:20.
• O godzinie 15:55 na komputerze pracownika pojawiło się złośliwe oprogramowanie typu malware. System EDR wykrył ten incydent o godzinie 16:40.

W każdym z tych przypadków od incydentu do wykrycia minęło odpowiednio: 25 minut, 2 godziny 20 minut i 45 minut.

MTTD oblicza się wówczas następująco:

MTTD = (25 min + 140 min + 45 min) / 3 = 70 min

Oznacza to, że średni czas wykrycia incydentu wynosił w tej firmie 70 min. W tych trzech przypadkach zagrożenia pozostawały niewykryte przez średnio ponad godzinę.

To ważne, by znać i na bieżąco mierzyć wartość wskaźnika MTTD w organizacji. Dzięki temu wiesz:

• Jakie mogą być skutki cyberataków na firmowe systemy – im dłuższy czas potrzebny na wykrycie incydentu, tym bardziej dotkliwe.
• Czy zespół ds. bezpieczeństwa działa skutecznie – jeśli MTTD jest wysoki, to sygnał, by przeanalizować sytuację i podjąć działania naprawcze, np. przeprowadzić szkolenia dla pracowników.
• Jakie są luki w systemie – wysoki MTTD może świadczyć o problemach z monitoringiem, konfiguracją narzędzi bezpieczeństwa, procesami wykrywania zagrożeń lub przepływem informacji między zespołami.

Na tej podstawie możesz podjąć kroki zmierzające do poprawy monitoringu bezpieczeństwa i działania SOC (Security Operations Center). Samo mierzenie czasu wykrycia incydentu nie wyeliminuje zagrożeń. Nadal może dojść do cyberataku – jego skutki będą jednak ograniczone. Dział bezpieczeństwa dowie się o incydencie szybciej, jeszcze zanim dojdzie do kradzieży danych, zaszyfrowania plików czy innych szkodliwych działań.

Sprawdź także, jakie wymogi bezpieczeństwa dla firm wynikają z unijnej dyrektywy NIS2:

NIS2 a monitoring bezpieczeństwa – czego faktycznie wymaga dyrektywa

Czym jest MTTR – Mean Time to Recover?

MTTR (Mean Time to Recover) w tym artykule oznacza średni czas od wykrycia incydentu do przywrócenia normalnego działania systemu. Obejmuje działania niezbędne do opanowania zagrożenia i odtworzenia usługi. Czas od wykrycia do rozpoczęcia pierwszych działań mierzymy odrębnie. Samo podjęcie reakcji lub izolacja zagrożenia nie oznacza jeszcze zakończenia odtwarzania.

Mean Time to Recover, podobnie jak Mean Time to Detect, jest wskaźnikiem technicznym, ale ma zastosowanie również jako wskaźnik biznesowy.

Przykład:

W firmie w ostatnim czasie doszło do kilku incydentów:

• O godzinie 8:25 system SIEM wygenerował alert dotyczący przejęcia konta pracownika. Zespół bezpieczeństwa zablokował nieautoryzowany dostęp i przywrócił bezpieczeństwo konta o godzinie 10:00.
• O godzinie 16:20 analityk SOC wykrył próbę kradzieży danych firmowych poprzez konto administratora. Dostęp napastnika został zablokowany, a skutki incydentu usunięto o godzinie 19:20.
• O godzinie 16:40 system EDR wykrył złośliwe oprogramowanie na komputerze pracownika. Urządzenie zostało odizolowane, malware usunięto, a komputer przywrócono do działania o godzinie 17:40.

W każdym z tych przypadków od wykrycia incydentu do przywrócenia normalnego działania minęło odpowiednio: 1 godzina 35 minut, 3 godziny i 1 godzina.

MTTR oblicza się wówczas następująco:

MTTR = (95 min + 180 min + 60 min) / 3 ≈ 111,67 min

Średni czas od wykrycia incydentu do przywrócenia normalnego działania wyniósł około 111,67 min. To średnia z trzech przypadków, a nie czas rozpoczęcia reakcji ani długość jednego wspólnego przestoju.

Dlaczego warto wiedzieć, jaki jest MTTR w organizacji? Dzięki znajomości tego wskaźnika można:

• Mierzyć skuteczność obsługi incydentów przez zespół ds. bezpieczeństwa, porównywać ją w czasie, oceniać efekty zmian.
• Uzyskać dane do dalszych analiz, które pomogą zidentyfikować obszary do naprawy czy podejmować decyzje. Dzięki MTTR mierzonym w czasie menedżerowie i zarząd wiedzą, że organizacja potrzebuje np. dodatkowych specjalistów w zespole, skuteczniejszego monitoringu 24/7 czy szkoleń z cyberbezpieczeństwa.
• Zmniejszyć ryzyko przestojów, kar finansowych za niedziałające usługi IT, utraty danych, dodatkowych kosztów niedziałających systemów.
• Usprawnić obszar zarządzania ryzykiem i cyberbezpieczeństwem.

Bezpieczeństwo firmowych zasobów nie jest abstrakcyjnym pojęciem. Można je mierzyć za pomocą wiarygodnych wskaźników. Zacznij to robić już dziś – dzięki temu zwiększysz kontrolę nad bezpieczeństwem i ograniczysz negatywne skutki cyberataków.

	MTTD	MTTR
Definicja	Czas wykrycia incydentu, mierzony od momentu jego rozpoczęcia do momentu, gdy zostaje on zauważony przez system lub zespół odpowiedzialny za bezpieczeństwo	Czas przywrócenia normalnego działania, mierzony od momentu wykrycia incydentu do zakończenia odtwarzania; czas rozpoczęcia reakcji jest osobnym pomiarem
Najważniejsze różnice	Początek pomiaru: gdy dojdzie do incydentu Cel pomiaru: szybkość wykrywania incydentów Wysoka wartość oznacza: długi czas działania cyberprzestępców, zanim zagrożenie zostanie wykryte	Początek pomiaru: wykrycie incydentu. Koniec pomiaru: przywrócenie normalnego działania. Cel pomiaru: szybkość odtwarzania po incydencie. Wysoka wartość oznacza: długi czas od wykrycia do powrotu do normalnego działania.

Przeczytaj artykuł i dowiedz się, czym jest SOC 24/7 oraz jak wspiera wykrywanie i obsługę incydentów:

Czym jest SOC 24/7 i dlaczego monitoring nie wystarcza

Dlaczego MTTD i MTTR decydują o tym, jakie skutki będzie miał cyberatak?

Przy każdym cyberataku czas działa na niekorzyść Twojej organizacji. Wystarczą sekundy, by złośliwe oprogramowanie uzyskało dostęp do danych wrażliwych, kont użytkowników i innych zasobów firmy. A niewykryty w porę incydent może trwać znacznie dłużej – minuty lub nawet godziny, jeśli firmowe systemy nie są objęte całodobowym monitoringiem.

Im dłużej trwa incydent, tym więcej przestrzeni zyskuje atakujący. W tym czasie może:

• Wykonać ruch lateralny – przemieszczać się pomiędzy systemami, uzyskiwać dostępy do kolejnych kont i innych zasobów firmy.
• Przeprowadzić eskalację uprawnień – uzyskać dostęp do systemów i urządzeń z poziomu administratora, by wykraść dane lub sparaliżować działanie infrastruktury IT.
• Przygotować wyciek danych – znaleźć je, skopiować i przesłać poza organizację.
• Przeprowadzić kolejne ataki, np. ransomware na szeroką skalę.

W efekcie może dojść do szkód, które będą widoczne nie tylko wewnątrz organizacji, ale także u jej klientów i partnerów biznesowych. Gdy atakujący uzyska dostęp do kont, może dojść do wycieku danych użytkowników. Jeśli atak spowoduje przerwę w działaniu systemu u klientów, na organizację mogą zostać nałożone kary umowne.

Długi czas wykrycia może zwiększać skalę szkód, a wysoki MTTR wskazuje, że przywrócenie normalnego działania trwa długo. Niektórych skutków incydentu, takich jak ujawnienie danych, nie da się cofnąć nawet po odtworzeniu usług. Wskaźników MTTD i MTTR nie powinno się traktować osobno. Szybkie wykrycie incydentu powinno prowadzić do sprawnej reakcji, opanowania zagrożenia i odtworzenia działania. Niski MTTR oznacza krótki czas do przywrócenia działania, a nie samą szybkość rozpoczęcia reakcji.

Przeczytaj także nasz artykuł poświęcony pierwszej godzinie cyberataku:

Pierwsze 60 minut cyberataku – co dzieje się naprawdę i dlaczego liczy się każda minuta

Case study – jak czas wykrycia i przywrócenia działania wpływa na cyberbezpieczeństwo firmy?

Rozważmy dwa przykładowe incydenty: w obu firmach w wyniku phishingu niepowołane osoby uzyskały dostęp do konta pracownika. W firmie X zagrożenie wykryto po 10 minutach, a normalne działanie przywrócono po godzinie od wykrycia. W firmie Y wykrycie zajęło 45 minut, a przywrócenie działania kolejne 3 godziny. Są to czasy pojedynczych incydentów; MTTD i MTTR oblicza się jako średnie dla przyjętego zbioru incydentów. Co działo się w obu przypadkach?

• Firma X: systemy monitoringu 24/7 szybko wykryły podejrzaną aktywność. Alert trafił do zespołu SOC, który przeanalizował sytuację i natychmiast zablokował przejęte konto. W ten sposób ograniczono skutki incydentu. Normalne działanie konta przywrócono po 1 godzinie od wykrycia.
• Firma Y: system monitoringu nie był prawidłowo skonfigurowany – zdarzenie nie spowodowało natychmiastowego wygenerowania alertu, a zespół ds. bezpieczeństwa wykrył incydent po 45 minutach. Zabrakło też ustandaryzowanych procesów Incident Response: jasno określonych ról i odpowiedzialności, kolejności działań i procedur eskalacji. To spowodowało chaos i opóźnienia w podejmowaniu decyzji. Od wykrycia do przywrócenia normalnego działania minęły 3 godziny. SOC musiał zablokować dostęp napastnikowi, przeanalizować logi, ocenić skalę naruszenia i skoordynować działania naprawcze.

Te przykłady pokazują, że incydenty bezpieczeństwa mogą zdarzyć się w nawet najlepiej chronionej firmie, z wypracowanymi procedurami i sprawnie działającymi systemami. Różnica polega jednak na tym, co dzieje się po ataku: czy zagrożenie zostanie szybko wykryte, a zespół będzie wiedział, jak działać skutecznie.

Co jest powodem wysokiego MTTD?

Najczęstsze powody wysokiego MTTD (czyli długiego czasu wykrycia incydentu) to:

• Brak monitoringu lub monitoring ograniczony np. tylko do godzin pracy. Jeśli środowisko IT nie jest obserwowane przez cały czas, incydenty mogą długo pozostać niezauważone. Problem jest szczególnie dotkliwy, gdy do ataków dochodzi poza godzinami pracy specjalistów. Wówczas nikt nie jest w stanie zauważyć podejrzanych aktywności, a atakujący mają wiele godzin na nieuprawnione działania w systemie.
• Nieprawidłowo skonfigurowane alerty. Jeśli zasady uruchamiania alertów są zbyt restrykcyjne, system może pomijać niektóre zdarzenia lub reagować na nie z opóźnieniem. Z kolei zbyt często uruchamiane powiadomienia mogą powodować „alert fatigue” – skłonność analityków do uznawania zgłoszeń za mało istotne i pomijania ich.
• Brak SOC. Jeśli w firmie nie działa zespół ds. bezpieczeństwa, wykrycie zagrożeń jest często kwestią przypadku, zależy od świadomości i dostępności pojedynczych osób.
• Brak SIEM. Bez systemu zarządzania cyberbezpieczeństwem trudno jest dostrzec korelacje pomiędzy danymi z różnych źródeł: urządzeń, serwerów, systemów uwierzytelniania. To powoduje, że wykrycie powiązanych ze sobą zdarzeń może zająć więcej czasu.
• Brak analizy alertów – bez nadawania powiadomieniom priorytetów łatwo jest przeoczyć ważne zdarzenia i zamiast tego skupić się na tych mało istotnych.

Co jest powodem wysokiego MTTR?

Najczęstsze powody wysokiego MTTR (czyli długiego czasu od wykrycia incydentu do przywrócenia normalnego działania) to:

• Brak Incident Response – jasno określonych procedur, dzięki którym SOC wie, jak reagować na incydent. Incident Response określa także role i odpowiedzialności w zespole – jeśli tego elementu zabraknie, podejmowane działania mogą być chaotyczne, a przez to długotrwałe i nieskuteczne.
• Brak playbooków – gotowych scenariuszy działania. Jeśli nie ma ich w zespole ds. bezpieczeństwa, przy każdym ataku trzeba planować działania od nowa. Nie korzysta się wówczas ze wcześniejszych doświadczeń i rozwiązań, które się sprawdziły. Playbooki skracają czas reakcji przede wszystkim przy częstych i powtarzalnych incydentach: phishingu, malware czy przejęciach kont.
• Brak ćwiczeń – testów i symulacji ataków. Takie regularne działania pozwalają organizacji upewnić się, że wypracowane procedury i scenariusze sprawdzają się w praktyce. Bez ćwiczeń wiedza i umiejętności pozostają tylko teorią. Zespół zna procesy, ale musi przypominać je sobie za każdym razem, przez co działa wolno i niepewnie.

Dowiedz się więcej na temat procedur Incident Response:

Jak wygląda realna obsługa incydentu? Incident Response krok po kroku

Jak skrócić czas wykrywania incydentów i reakcji?

Aby skrócić czas wykrywania i reagowania na incydenty, Twoja organizacja potrzebuje dwóch elementów: ustandaryzowanych procedur i sprawnie działających systemów.

Usprawniony musi zostać cały proces obsługi incydentu, a nie tylko jego pojedyncze etapy. Każdy element, od wykrycia zagrożenia po przywrócenie normalnego działania systemu pełni równie ważną rolę.

EDR (Endpoint Detection and Response)

Szybkie wykrywanie zagrożeń na urządzeniach końcowych – EDR monitoruje aktywność na komputerach i serwerach, wykrywa podejrzane zachowania oraz umożliwia szybką reakcję, np. izolację zainfekowanego urządzenia. Dzięki temu skraca czas wykrycia incydentu (MTTD) i ogranicza jego rozwój.

SIEM (Security Information and Event Management)

Centralizacja i korelacja zdarzeń bezpieczeństwa – SIEM zbiera dane z wielu źródeł (np. EDR, systemów uwierzytelniania, aplikacji i infrastruktury), wskazuje korelacje pomiędzy zdarzeniami i generuje alerty. Pozwala szybciej zauważyć atak oraz dostarcza analitykom informacji potrzebnych do podjęcia decyzji.

SOC (Security Operations Center)

Analiza alertów i koordynacja reakcji – zespół SOC analizuje zgłoszenia, nadaje im priorytety i inicjuje działania naprawcze. Doświadczony zespół, jasno określone procedury oraz automatyzacja analizy pozwalają skrócić czas od wykrycia do rozpoczęcia reakcji.

Incident Response

Standaryzowana reakcja na incydent – stałe procedury reagowania określają, kto, kiedy i jakie działania powinien wykonać. Dzięki temu organizacja unika chaosu podczas incydentu, szybciej izoluje zagrożenie, usuwa przyczynę ataku i ogranicza jego skutki, skracając MTTR.

Recovery

Szybkie przywrócenie normalnego działania – sprawne odtworzenie systemów z kopii zapasowych, przywrócenie usług i weryfikacja bezpieczeństwa pozwalają szybciej zakończyć obsługę incydentu. Dobrze przygotowany proces recovery ogranicza przestoje i skraca czas powrotu organizacji do normalnego funkcjonowania.

Warto łączyć ze sobą te rozwiązania. Samo istnienie procedur i playbooków nie wystarczy, gdy zespół SOC nie będzie regularnie ćwiczył symulacji ataków. Połączenie procedur z praktyką przynosi najlepsze efekty. Warto także myśleć o odpowiednim przygotowaniu specjalistów – nie tylko wyposażeniu ich w odpowiednie narzędzia, ale także budowaniu w nich zaangażowania i poczucia odpowiedzialności.

Jak mierzyć skuteczność wykrywania i reakcji na incydenty w organizacji?

W mierzeniu skuteczności wykrywania i reakcji na incydenty w organizacji dobrze sprawdzają się KPI. To jasno określone, mierzalne wskaźniki biznesowe. MTTD i MTTR mogą być traktowane jako KPI w obszarze cyberbezpieczeństwa. Ważne jest jednak, by nie służyły wyłącznie do pomiaru czasu. KPI powinny wspierać konkretne cele biznesowe, takie jak ograniczenie wpływu cyberataków na działalność firmy. Należy ustalić definicje i docelowe wartości Mean Time to Detect oraz Mean Time to Recover, okres pomiaru i zakres uwzględnianych incydentów. Przykładowe cele mogą wynosić 15 minut dla MTTD i 2 godziny dla MTTR, ale wymagają dostosowania do ryzyka, systemów i możliwości odtworzenia. Są to cele pomiarowe, a nie gwarancja dla każdego incydentu ani automatycznie obowiązujące SLA.

Inne wskaźniki KPI, które pomagają mierzyć skuteczność wykrywania i reakcji na incydenty w organizacji, to:

• liczba incydentów – zarejestrowanych cyberataków i innych zagrożeń dla cyberbezpieczeństwa;
• czas eskalacji – przekazania go do odpowiednich osób lub działów (najczęściej o wyższym poziomie kompetencji);
• czas izolacji – zablokowania lub odseparowania zaatakowanych elementów.

Podobnie jak w przypadku MTTD i MTTR, dla każdego z tych wskaźników trzeba określić cel biznesowy oraz pożądane wartości.

Czy Twoja organizacja naprawdę jest gotowa, by szybko reagować na incydenty?

Skrócenie czasu wykrycia i reakcji na incydenty jest możliwe tylko wtedy, gdy organizacja wdroży systemowe zmiany. Niski MTTD i MTTR nie są kwestią przypadku i szczęścia, ale ściśle zaplanowanych działań. Nawet najlepiej przygotowane procedury nie zastąpią przy tym zaangażowania członków zespołu – osób, które będą wiedziały, jak postępować i wezmą odpowiedzialność za swoje działania.

W osiągnięciu tego efektu pomoże Ci przygotowana przez nas checklista. Jest uniwersalna – przeznaczona dla organizacji różnej wielkości, z różnych branż. Możesz ją wdrożyć również w dziale bezpieczeństwa swojej firmy.

Pytanie	Odpowiedź
Czy mierzysz MTTD?	TAK / NIE
Czy mierzysz MTTR?	TAK / NIE
Czy masz określone cele dla obu wskaźników?	TAK / NIE
Czy monitoring działa 24/7?	TAK / NIE
Czy wszystkie kluczowe systemy są objęte monitoringiem?	TAK / NIE
Czy alerty są odpowiednio priorytetyzowane?	TAK / NIE
Czy istnieją aktualne playbooki reagowania?	TAK / NIE
Czy role i odpowiedzialności podczas incydentu są jasno określone?	TAK / NIE
Czy zespół regularnie ćwiczy reakcję na incydenty?	TAK / NIE
Czy po incydentach analizujesz przyczyny opóźnień i wdrażasz usprawnienia?	TAK / NIE

Im więcej odpowiedzi „TAK”, tym krótszy czas wykrycia i reakcji, a tym samym większe bezpieczeństwo Twojej organizacji.

Jak w VigilHorizon pomagamy firmom budować zdolność do szybkiego wykrywania i reagowania na incydenty?

Na zdolność organizacji do skutecznego zarządzania cyberbezpieczeństwem patrzymy szerzej niż tylko przez pryzmat wskaźników MTTD i MTTR. Wiemy, że samo wdrożenie technologii, np. monitoringu SOC 24/7 może nie wystarczyć, by skutecznie chronić systemy przed zagrożeniami. Stawiamy na równoległe budowanie procesów – tak aby uniknąć chaotycznych działań w razie ataków oraz odpowiedzialności operacyjnej – tak aby każdy członek zespołu w pełni angażował się w rozwiązywanie problemów. Takie podejście najlepiej sprawdza się u naszych klientów.

Twoja firma potrzebuje skuteczniejszego monitorowania zagrożeń i szybszego reagowania na incydenty? Pomożemy Ci wdrożyć potrzebne zmiany. Skontaktuj się z nami i umów na konsultację na temat monitoringu bezpieczeństwa!

Podsumowanie

Warto dążyć do ograniczenia liczby cyberataków na firmowe zasoby. Trzeba jednak pamiętać, że skuteczność takich działań może być ograniczona. Incydentów nie da się całkowicie wyeliminować. Zamiast tego lepiej skupić się na jak najszybszym ich wykrywaniu oraz skutecznym reagowaniu. Mierzenie MTTD i MTTR to tylko punkt wyjścia dla takich działań. Twoja organizacja ma wpływ na to, co będzie działo się po cyberataku. Skuteczne systemy bezpieczeństwa 24/7 pozwolą wykryć zagrożenie, zanim wpłynie na działanie infrastruktury IT. Sprawnie działający, wyposażony w procedury i playbooki SOC wie, jak reagować, by zminimalizować skutki ataku.

Najczęściej zadawane pytania (FAQ)

Co oznacza MTTD?​

MTTD, czyli Mean Time to Detect, to średni czas wykrycia incydentu.

Co oznacza MTTR?​

W tym artykule MTTR oznacza Mean Time to Recover: średni czas od wykrycia incydentu do przywrócenia normalnego działania systemu. Czas rozpoczęcia reakcji mierzy się odrębnie.

Jak obliczyć MTTD?​

MTTD to średnia. Oblicza się ją, dodając do siebie czasy wykrycia incydentów w badanym okresie, a następnie dzieląc je przez liczbę incydentów.

Jak obliczyć MTTR?​

MTTR oblicza się, sumując czasy od wykrycia każdego incydentu do przywrócenia normalnego działania, a następnie dzieląc sumę przez liczbę uwzględnionych incydentów. Dla całego zbioru należy stosować te same zasady rozpoczęcia i zakończenia pomiaru.

Jak skrócić czas reakcji na incydenty?​

W skróceniu czasu reakcji na incydenty pomogą procedury oraz jasno określone role i odpowiedzialności – Incident Response. Przydatne są także playbooki ze scenariuszami postępowania oraz regularne ćwiczenia i symulacje ataków.

Czy szybkie wykrywanie i reagowanie zmniejsza liczbę incydentów?​

Szybkie wykrywanie i reagowanie nie zmniejsza liczby incydentów. Pozwala jednak ograniczyć skalę zagrożeń i zmniejszyć ich skutki.

Jak mierzyć skuteczność wykrywania i reakcji na incydenty?​

Skuteczność wykrywania i reakcji na incydenty najlepiej mierzyć, porównując MTTD i MTTR w czasie. Warto też zastosować inne wskaźniki, np. liczbę incydentów, czas eskalacji czy czas potrzebny na izolację zaatakowanego elementu.

Z czego może wynikać wysoki MTTD?​

Wysoki MTTD może wynikać z braku monitoringu 24/7, nieprawidłowo skonfigurowanych alertów, braku analizy przyczyn incydentów, braku SOC czy zarządzania cyberbezpieczeństwem w postaci SIEM.

Z czego może wynikać wysoki MTTR?​

Wysoki MTTR może wynikać z braku procedur postępowania po wykryciu incydentu, niejasnych ról i odpowiedzialności, niewystarczających ćwiczeń oraz problemów z odtwarzaniem usług. Szybkie rozpoczęcie reakcji nie wystarczy, jeśli przywrócenie normalnego działania trwa długo.

Co oznacza niski MTTD i wysoki MTTR?​

Niski MTTD i wysoki MTTR oznaczają, że incydenty są szybko wykrywane, ale przywrócenie normalnego działania zajmuje dużo czasu. Należy wtedy przeanalizować cały proces od reakcji i opanowania zagrożenia po odtworzenie usług.

Czy SOC wpływa na MTTD?​

Tak, działania SOC (zespołu ds. bezpieczeństwa) wpływają na czas wykrycia incydentu. Liczy się przede wszystkim jakość monitorowania, analiza zdarzeń, prawidłowa identyfikacja zagrożeń.

Czy SIEM skraca MTTR?​

Prawidłowo skonfigurowany SIEM może wspierać skracanie MTTR, dostarczając logi, korelacje zdarzeń i informacje potrzebne do analizy incydentu. Sam SIEM nie odtwarza usług. Czas przywrócenia działania zależy także od procedur reagowania, zespołów technicznych, dostępnych kopii i infrastruktury odtworzeniowej.

Dowiedz się więcej

• Pierwsze 60 minut cyberataku: co dzieje się naprawdę i dlaczego liczy się każda minuta
• Incident Response: jak wygląda reakcja na cyberatak krok po kroku
• Czym jest SOC 24/7 i dlaczego monitoring nie wystarcza?
• Lateral movement: etap ataku, którego większość firm nigdy nie zauważa
• EDR, XDR i MDR: czym się różnią i kiedy naprawdę chronią firmę?