MTTD i MTTR — dlaczego czas wykrycia decyduje o skali incydentu

MTTD i MTTR mówią dużo o pracy zespołów bezpieczeństwa, ale ich znaczenie wykracza daleko poza SOC. Czas wykrycia i reakcji na incydenty wpływa na biznes: finanse, płynność operacyjną i odporność na ryzyka. Cyberataków nie da się całkowicie uniknąć, ale dobrze zarządzane organizacje wiedzą, jak postępować z takimi zagrożeniami i ograniczać ich skutki. Dowiedz się, jakie znaczenie w tych procesach mają wskaźniki MTTD i MTTR.

Z tego artykułu dowiesz się:

• Czym jest MTTD i jak się go oblicza.
• Czym jest MTTR i jak się go oblicza.
• Jakie znaczenie mają wskaźniki MTTD i MTTR dla biznesu.
• Jak czas wykrycia i czas reakcji na incydenty wpływają na bezpieczeństwo firmy?
• Co może być powodem wysokiego MTTD i MTTR.
• Jak mierzyć skuteczność wykrywania i reagowania na incydenty w organizacji.
• Jak przygotować organizację na skuteczne monitorowanie zagrożeń.

Atak o 1:30, przywrócenie działania systemu o 11:00. Dlaczego to tyle trwało?

O godzinie 1:30, gdy w siedzibie firmy od dawna nie było nikogo, doszło do cyberataku. To był incydent typu ransomware. Napastnik przez długi czas mógł działać niezauważony. Zaszyfrował cenne pliki z danymi użytkowników i innymi wrażliwymi informacjami. Swobodnie przeszedł na wyższe poziomy systemu. Administrator zauważył problem dopiero gdy… przyszedł do siedziby firmy o 8:00. W firmie nie działał monitoring 24/7 – był aktywny tylko w godzinach pracy. Administrator natychmiast przystąpił do działania, ale czekało go dużo wyzwań. Udało mu się stopniowo izolować kolejne serwery, ale szkody miały naprawdę dużą skalę. System powrócił do normalnego działania dopiero o 11:00.

Czy tego ataku dałoby się uniknąć? Prawdopodobnie nie. Można było jednak zmniejszyć jego skalę, gdyby zagrożenie zostało w porę wykryte. Atakujący nie zdążyłby uzyskać dostępu do tak dużej ilości danych, a działanie systemu szybko wróciłoby do normy. To nie sam atak był problemem, ale długi czas wykrycia incydentu i reakcji ze strony SOC.

Czym jest MTTD – Mean Time to Detect?

MTTD (Mean Time to Detect) to średni czas potrzebny na wykrycie zagrożenia. Mierzy się go od momentu, w którym wystąpił incydent, do momentu, w którym wykrył go zespół ds. bezpieczeństwa. To wskaźnik techniczny, ale ma zastosowanie również przy podejmowaniu decyzji biznesowych.

Przykład:

W firmie w ostatnim czasie doszło do kilku incydentów:

• O godzinie 8:00 pracownik kliknął w złośliwy link, dając nieupoważnionym osobom dostęp do konta. System SIEM wygenerował alert dotyczący tego zdarzenia o godzinie 8:25.
• O godzinie 14:00 nastąpiła próba kradzieży danych firmowych poprzez konto administratora. Analityk SOC zauważył nietypowy transfer o godzinie 16:20.
• O godzinie 15:55 na komputerze pracownika pojawiło się złośliwe oprogramowanie typu malware. System EDR wykrył ten incydent o godzinie 16:40.

W każdym z tych przypadków od incydentu do wykrycia minęło odpowiednio: 25 minut, 2,5 godziny, 40 minut.

MTTD oblicza się wówczas następująco:

MTTD = (25 min + 150 min + 40 min) / 3 = 71,67 min

Oznacza to, że średni czas wykrycia incydentu wynosił w tej firmie 71,67 min. Przez ponad godzinę atakujący mogli działać niezauważeni.

To ważne, by znać i na bieżąco mierzyć wartość wskaźnika MTTD w organizacji. Dzięki temu wiesz:

• Jakie mogą być skutki cyberataków na firmowe systemy – im dłuższy czas potrzebny na wykrycie incydentu, tym bardziej dotkliwe.
• Czy zespół ds. bezpieczeństwa działa skutecznie – jeśli MTTD jest wysoki, to sygnał, by przeanalizować sytuację i podjąć działania naprawcze, np. przeprowadzić szkolenia dla pracowników.
• Jakie są luki w systemie – wysoki MTTD może świadczyć o problemach z monitoringiem, konfiguracją narzędzi bezpieczeństwa, procesami wykrywania zagrożeń lub przepływem informacji między zespołami.

Na tej podstawie możesz podjąć kroki zmierzające do poprawy monitoringu bezpieczeństwa i działania SOC (Security Operations Center). Samo mierzenie czasu wykrycia incydentu nie wyeliminuje zagrożeń. Nadal może dojść do cyberataku – jego skutki będą jednak ograniczone. Dział bezpieczeństwa dowie się o incydencie szybciej, jeszcze zanim dojdzie do kradzieży danych, zaszyfrowania plików czy innych szkodliwych działań.

Czym jest MTTR – Mean Time to Respond?

MTTR (Mean Time to Respond) to średni czas reakcji na incydent. Liczy się go od momentu wykrycia zagrożenia do momentu jego usunięcia i przywrócenia normalnego działania systemu. Co ważne, w MTTR nie jest ważny czas, w którym podejmuje się pierwsze działania. Najistotniejszy jest czas, w którym zagrożenie zostanie opanowane.

Mean Time to Respond, podobnie jak Mean Time to Detect, jest wskaźnikiem technicznym, ale ma zastosowanie również jako wskaźnik biznesowy.

Przykład:

W firmie w ostatnim czasie doszło do kilku incydentów:

• O godzinie 8:25 system SIEM wygenerował alert dotyczący przejęcia konta pracownika. Zespół bezpieczeństwa zablokował nieautoryzowany dostęp i przywrócił bezpieczeństwo konta o godzinie 10:00.
• O godzinie 16:20 analityk SOC wykrył próbę kradzieży danych firmowych poprzez konto administratora. Dostęp napastnika został zablokowany, a skutki incydentu usunięto o godzinie 19:20.
• O godzinie 16:40 system EDR wykrył złośliwe oprogramowanie na komputerze pracownika. Urządzenie zostało odizolowane, malware usunięto, a komputer przywrócono do działania o godzinie 17:40.

W każdym z tych przypadków od wykrycia do rozwiązania incydentu minęło odpowiednio: 1 godzina 35 minut, 3 godziny, 1 godzina.

MTTR oblicza się wówczas następująco:

MTTR = (95 min + 180 min + 60 min) / 3 = 111,6 min

Oznacza to, że SOC potrzebował na reakcję średnio 111,6 min. Przez prawie 2 godziny działanie infrastruktury IT w firmie było zakłócone.

Dlaczego warto wiedzieć, jaki jest MTTR w organizacji? Dzięki znajomości tego wskaźnika można:

• Mierzyć skuteczność obsługi incydentów przez zespół ds. bezpieczeństwa, porównywać ją w czasie, oceniać efekty zmian.
• Uzyskać dane do dalszych analiz, które pomogą zidentyfikować obszary do naprawy czy podejmować decyzje. Dzięki MTTR mierzonym w czasie menedżerowie i zarząd wiedzą, że organizacja potrzebuje np. dodatkowych specjalistów w zespole, skuteczniejszego monitoringu 24/7 czy szkoleń z cyberbezpieczeństwa.
• Zmniejszyć ryzyko przestojów, kar finansowych za niedziałające usługi IT, utraty danych, dodatkowych kosztów niedziałających systemów.
• Usprawnić obszar zarządzania ryzykiem i cyberbezpieczeństwem.

Bezpieczeństwo firmowych zasobów nie jest abstrakcyjnym pojęciem. Można je mierzyć za pomocą wiarygodnych wskaźników. Zacznij to robić już dziś – dzięki temu zwiększysz kontrolę nad bezpieczeństwem i ograniczysz negatywne skutki cyberataków.

Dlaczego MTTD i MTTR decydują o tym, jakie skutki będzie miał cyberatak?

Przy każdym cyberataku czas działa na niekorzyść Twojej organizacji. Wystarczą sekundy, by złośliwe oprogramowanie uzyskało dostęp do danych wrażliwych, kont użytkowników i innych zasobów firmy. A niewykryty w porę incydent może trwać znacznie dłużej – minuty lub nawet godziny, jeśli firmowe systemy nie są objęte całodobowym monitoringiem.

Im dłużej trwa incydent, tym więcej przestrzeni zyskuje atakujący. W tym czasie może:

• Wykonać ruch lateralny – przemieszczać się pomiędzy systemami, uzyskiwać dostępy do kolejnych kont i innych zasobów firmy.
• Przeprowadzić eskalację uprawnień – uzyskać dostęp do systemów i urządzeń z poziomu administratora, by wykraść dane lub sparaliżować działanie infrastruktury IT.
• Przygotować wyciek danych – znaleźć je, skopiować i przesłać poza organizację.
• Przeprowadzić kolejne ataki, np. ransomware na szeroką skalę.

W efekcie może dojść do szkód, które będą widoczne nie tylko wewnątrz organizacji, ale także u jej klientów i partnerów biznesowych. Gdy atakujący uzyska dostęp do kont, może dojść do wycieku danych użytkowników. Jeśli atak spowoduje przerwę w działaniu systemu u klientów, na organizację mogą zostać nałożone kary umowne.

Wysoki MTTD i MTTR powodują także, że usunięcie skutków incydentu jest trudniejsze i trwa dłużej. W niektórych przypadkach może nawet okazać się to niemożliwe. Wskaźników MTTD i MTTR nie powinno się traktować osobno. Szybkie wykrycie incydentu (czyli niski MTTD) nie rozwiąże problemu. Poważnych skutków zagrożeń dla cyberbezpieczeństwa da się uniknąć tylko wtedy, gdy będzie to iść w parze z szybką reakcją (niskim MTTR).

Case study – jak czas wykrycia i reakcji wpływa na cyberbezpieczeństwo firmy?

W dwóch firmach doszło do podobnych cyberataków: w wyniku ataku phishingowego niepowołane osoby uzyskały dostęp do konta pracownika. W firmie X zagrożenie wykryto po 10 minutach, system przywrócono do normalnego działania po godzinie, a w firmie Y na wykrycie SOC potrzebował 45 minut, a czas reakcji na incydent wyniósł 3 godziny. Co działo się w obu przypadkach?

• Firma X: systemy monitoringu 24/7 szybko wykryły podejrzaną aktywność. Alert trafił do zespołu SOC, który przeanalizował sytuację i natychmiast zablokował przejęte konto. W ten sposób udało się uniknąć poważnych naruszeń bezpieczeństwa. Normalne działanie konta mogło zostać przywrócone już po 1 godzinie.
• Firma Y: system monitoringu nie był prawidłowo skonfigurowany – zdarzenie zostało wykryte, ale nie spowodowało to natychmiastowego wygenerowania alertu. Z tego powodu zespół ds. bezpieczeństwa dowiedział się o incydencie z opóźnieniem – MTTD wyniósł aż 45 minut. Zabrakło tam też ustandaryzowanych procesów Incident Response – członkowie zespołu nie mieli jasno określonych ról i odpowiedzialności, kolejności działań i procedur eskalacji. To spowodowało chaos i opóźnienie w podejmowaniu decyzji. Czas reakcji wydłużył się do 3 godzin. SOC musiał zablokować dostęp napastnikowi, przeprowadzić analizę logów, ocenić, w jakim stopniu doszło do naruszenia i przeprowadzić działania naprawcze.

Te przykłady pokazują, że incydenty bezpieczeństwa mogą zdarzyć się w nawet najlepiej chronionej firmie, z wypracowanymi procedurami i sprawnie działającymi systemami. Różnica polega jednak na tym, co dzieje się po ataku: czy zagrożenie zostanie szybko wykryte, a zespół będzie wiedział, jak działać skutecznie.

Co jest powodem wysokiego MTTD?

Najczęstsze powody wysokiego MTTD (czyli długiego czasu wykrycia incydentu) to:

• Brak monitoringu lub monitoring ograniczony np. tylko do godzin pracy. Jeśli środowisko IT nie jest obserwowane przez cały czas, incydenty mogą długo pozostać niezauważone. Problem jest szczególnie dotkliwy, gdy do ataków dochodzi poza godzinami pracy specjalistów. Wówczas nikt nie jest w stanie zauważyć podejrzanych aktywności, a atakujący mają wiele godzin na nieuprawnione działania w systemie.
• Nieprawidłowo skonfigurowane alerty. Jeśli zasady uruchamiania alertów są zbyt restrykcyjne, system może pomijać niektóre zdarzenia lub reagować na nie z opóźnieniem. Z kolei zbyt często uruchamiane powiadomienia mogą powodować „alert fatigue” – skłonność analityków do uznawania zgłoszeń za mało istotne i pomijania ich.
• Brak SOC. Jeśli w firmie nie działa zespół ds. bezpieczeństwa, wykrycie zagrożeń jest często kwestią przypadku, zależy od świadomości i dostępności pojedynczych osób.
• Brak SIEM. Bez systemu zarządzania cyberbezpieczeństwem trudno jest dostrzec korelacje pomiędzy danymi z różnych źródeł: urządzeń, serwerów, systemów uwierzytelniania. To powoduje, że wykrycie powiązanych ze sobą zdarzeń może zająć więcej czasu.
• Brak analizy alertów – bez nadawania powiadomieniom priorytetów łatwo jest przeoczyć ważne zdarzenia i zamiast tego skupić się na tych mało istotnych.

Co jest powodem wysokiego MTTR?

Najczęstsze powody wysokiego MTTR (czyli długiego czasu reakcji na incydent) to:

• Brak Incident Response – jasno określonych procedur, dzięki którym SOC wie, jak reagować na incydent. Incident Response określa także role i odpowiedzialności w zespole – jeśli tego elementu zabraknie, podejmowane działania mogą być chaotyczne, a przez to długotrwałe i nieskuteczne.
• Brak playbooków – gotowych scenariuszy działania. Jeśli nie ma ich w zespole ds. bezpieczeństwa, przy każdym ataku trzeba planować działania od nowa. Nie korzysta się wówczas ze wcześniejszych doświadczeń i rozwiązań, które się sprawdziły. Playbooki skracają czas reakcji przede wszystkim przy częstych i powtarzalnych incydentach: phishingu, malware czy przejęciach kont.
• Brak ćwiczeń – testów i symulacji ataków. Takie regularne działania pozwalają organizacji upewnić się, że wypracowane procedury i scenariusze sprawdzają się w praktyce. Bez ćwiczeń wiedza i umiejętności pozostają tylko teorią. Zespół zna procesy, ale musi przypominać je sobie za każdym razem, przez co działa wolno i niepewnie.

Jak skrócić czas wykrywania incydentów i reakcji?

Aby skrócić czas wykrywania i reagowania na incydenty, Twoja organizacja potrzebuje dwóch elementów: ustandaryzowanych procedur i sprawnie działających systemów.

Usprawniony musi zostać cały proces obsługi incydentu, a nie tylko jego pojedyncze etapy. Każdy element, od wykrycia zagrożenia po przywrócenie normalnego działania systemu pełni równie ważną rolę.

Warto łączyć ze sobą te rozwiązania. Samo istnienie procedur i playbooków nie wystarczy, gdy zespół SOC nie będzie regularnie ćwiczył symulacji ataków. Połączenie procedur z praktyką przynosi najlepsze efekty. Warto także myśleć o odpowiednim przygotowaniu specjalistów – nie tylko wyposażeniu ich w odpowiednie narzędzia, ale także budowaniu w nich zaangażowania i poczucia odpowiedzialności.

Jak mierzyć skuteczność wykrywania i reakcji na incydenty w organizacji?

W mierzeniu skuteczności wykrywania i reakcji na incydenty w organizacji dobrze sprawdzają się KPI. To jasno określone, mierzalne wskaźniki biznesowe. MTTD i MTTR mogą być traktowane jako KPI w obszarze cyberbezpieczeństwa. Ważne jest jednak, by nie służyły wyłącznie do pomiaru czasu. KPI powinny służyć realizacji konkretnych celów biznesowych – w tym przypadku może to być np. ograniczenie wpływu cyberataków na działalność firmy. Należy także określić docelowe wartości Mean Time to Detect i Mean Time to Respond, np. 15 minut dla MTTD i 2 godziny dla MTTR. Dopiero po uzyskaniu tych wartości można uznać, że KPI zostały zrealizowane.

Inne wskaźniki KPI, które pomagają mierzyć skuteczność wykrywania i reakcji na incydenty w organizacji, to:

• liczba incydentów – zarejestrowanych cyberataków i innych zagrożeń dla cyberbezpieczeństwa;
• czas eskalacji – przekazania go do odpowiednich osób lub działów (najczęściej o wyższym poziomie kompetencji);
• czas izolacji – zablokowania lub odseparowania zaatakowanych elementów.

Podobnie jak w przypadku MTTD i MTTR, dla każdego z tych wskaźników trzeba określić cel biznesowy oraz pożądane wartości.

Czy Twoja organizacja naprawdę jest gotowa, by szybko reagować na incydenty?

Skrócenie czasu wykrycia i reakcji na incydenty jest możliwe tylko wtedy, gdy organizacja wdroży systemowe zmiany. Niski MTTD i MTTR nie są kwestią przypadku i szczęścia, ale ściśle zaplanowanych działań. Nawet najlepiej przygotowane procedury nie zastąpią przy tym zaangażowania członków zespołu – osób, które będą wiedziały, jak postępować i wezmą odpowiedzialność za swoje działania.

W osiągnięciu tego efektu pomoże Ci przygotowana przez nas checklista. Jest uniwersalna – przeznaczona dla organizacji różnej wielkości, z różnych branż. Możesz ją wdrożyć również w dziale bezpieczeństwa swojej firmy.

Im więcej odpowiedzi „TAK”, tym krótszy czas wykrycia i reakcji, a tym samym większe bezpieczeństwo Twojej organizacji.

Jak w VigilHorizon pomagamy firmom budować zdolność do szybkiego wykrywania i reagowania na incydenty?

Na zdolność organizacji do skutecznego zarządzania cyberbezpieczeństwem patrzymy szerzej niż tylko przez pryzmat wskaźników MTTD i MTTR. Wiemy, że samo wdrożenie technologii, np. monitoringu SOC 24/7 może nie wystarczyć, by skutecznie chronić systemy przed zagrożeniami. Stawiamy na równoległe budowanie procesów – tak aby uniknąć chaotycznych działań w razie ataków oraz odpowiedzialności operacyjnej – tak aby każdy członek zespołu w pełni angażował się w rozwiązywanie problemów. Takie podejście najlepiej sprawdza się u naszych klientów.

Twoja firma potrzebuje skuteczniejszego monitorowania zagrożeń i szybszego reagowania na incydenty? Pomożemy Ci wdrożyć potrzebne zmiany. Skontaktuj się z nami i umów na konsultację na temat monitoringu bezpieczeństwa!

Najczęściej zadawane pytania (FAQ)

Podsumowanie

Warto dążyć do ograniczenia liczby cyberataków na firmowe zasoby. Trzeba jednak pamiętać, że skuteczność takich działań może być ograniczona. Incydentów nie da się całkowicie wyeliminować. Zamiast tego lepiej skupić się na jak najszybszym ich wykrywaniu oraz skutecznym reagowaniu. Mierzenie MTTD i MTTR to tylko punkt wyjścia dla takich działań. Twoja organizacja ma wpływ na to, co będzie działo się po cyberataku. Skuteczne systemy bezpieczeństwa 24/7 pozwolą wykryć zagrożenie, zanim wpłynie na działanie infrastruktury IT. Sprawnie działający, wyposażony w procedury i playbooki SOC wie, jak reagować, by zminimalizować skutki ataku.