色控传媒

O tempo médio para detectar, ou MTTD, é o tempo médio que uma equipe de DevOps leva para detectar um problema, como um bug de software ou falha de hardware, dentro de uma organiza??o.

A MTTD é um dos principais indicadores de desempenho do gerenciamento de incidentes. Obviamente, quanto mais cedo uma organiza??o descobrir um problema, melhor. De acordo com o Gartner, incidentes frequentemente podem levar a tempo de inatividade do sistema, o que, em média, pode .

Embora o MTTD n?o seja a única métrica disponível para as equipes de DevOps, é uma das mais fáceis de rastrear e medir e é uma métrica essencial para qualquer organiza??o que queira evitar problemas como interrup??es do sistema.

Como calcular a MTTD: Passo a passo

Para calcular a MTTD:

1. Acompanhe todos os incidentes usando ferramentas como logs, um help desk e/ou um sistema de detec??o de invas?o (mais informa??es sobre essas ferramentas abaixo).
2. Determine a meta do seu cálculo de MTTD e para que você quer calculá-lo. A MTTD normalmente é calculada para uma determinada instala??o ou sistema durante um período específico, como durante a noite, semanalmente, mensalmente ou anualmente. Ele também pode ser calculado para um técnico ou equipe específica.
3. Use as ferramentas mencionadas anteriormente para calcular a hora de início e a hora de detec??o para cada incidente dentro do prazo que você escolheu.
4. Divida o tempo total de detec??o de incidentes pelo número de incidentes.

Por exemplo, digamos que a equipe de suporte a opera??es 24 horas por dia, 7 dias por semana, de um grande fabricante de pe?as automotivas acompanhe a MTTD semanal de toda a instala??o. Durante a semana de 7 a 11 de fevereiro de 2022, houve quatro incidentes. Usando logs de sistemas, a equipe determinou a hora de início e a hora de detec??o de cada incidente e os registrou em uma tabela da seguinte forma:

O tempo médio para detec??o é calculado como:

(118 + 53 + 148 + 85)/4

MTTD = 101 minutos

O fabricante de autope?as poderia usar esse número para comparar a MTTD desta semana específica com outras semanas ou com a mesma semana do ano anterior. Se eles tivessem calculado o MTTD para uma determinada equipe, poderiam usar esse resultado para medir o desempenho da equipe ao longo do tempo. Algumas empresas optam por remover valores atípicos da tabela, e muitas também classificam os incidentes por gravidade para ver se a MTTD varia de acordo com a gravidade do problema.

Quais ferramentas você precisa para monitorar o MTTD?

O monitoramento de MTTD envolve principalmente acompanhar qualquer coisa que se qualifique como um evento ou um problema, que pode variar muito de organiza??o para organiza??o.

As principais ferramentas necessárias para monitorar a MTTD incluem:

Registros: Os logs s?o automaticamente produzidos e documenta??es com carimbo de data/hora de eventos relevantes para um sistema de computador ou aplicativo de software específico. Por exemplo, o log de acesso de um servidor da Web lista todos os arquivos individuais que as pessoas solicitam de um site, incluindo arquivos HTML e quaisquer outros arquivos associados que s?o transmitidos. Outro exemplo é um log de banco de dados, que registra todas as atividades no banco de dados, incluindo todas as altera??es nos registros.

Suporte técnico: Os suportes retidos s?o centrais de ajuda centralizadas para usuários de produtos que precisam de ajuda com qualquer coisa relacionada ao produto, especialmente problemas de TI. Podem ser call centers físicos ou online ou sistemas de tíquetes que operam por meio de aplicativos SaaS. Os help desks têm uma base de conhecimento que mantém registros dos problemas dos clientes, incluindo qual foi o problema, quando foi identificado e como foi resolvido.

Sistemas de detec??o de intrus?o: Um sistema de detec??o de invas?o (IDS, Intrusion Detection System) é um sistema que monitora o tráfego de rede em busca de atividades suspeitas e gera alertas quando essa atividade é descoberta. As principais fun??es de um IDS s?o a detec??o de relatórios e anomalias, mas alguns sistemas de detec??o de invas?o podem tomar medidas quando detectam atividades maliciosas, incluindo o bloqueio do tráfego enviado de endere?os IP suspeitos.

O que é um bom MTTD?

O que constitui um MTTD “bom” varia muito dependendo da empresa, de seu produto, do setor e da amea?a ou invas?o específica que a empresa deseja evitar ou interceptar. Obviamente, o melhor MTTD possível é zero, o que significa que você pega o agente de amea?as antes mesmo que ele tenha a chance de causar danos.

Um zero MTTD é, é claro, muito difícil de alcan?ar. De acordo com o que fornece o benchmark padr?o do setor para MTTD, o tempo médio para identificar e conter uma viola??o de dados foi de 280 dias em 2020 e 279 dias em 2019.

Para descobrir o que é um bom MTTD para sua empresa específica, você deve olhar n?o apenas para a média geral de todas as empresas, mas também tentar obter informa??es sobre como outras empresas em seu setor se d?o com o MTTD. Além disso, você precisa calcular qual é o custo médio da viola??o de dados para sua empresa e quanto ela pode se dar ao luxo de perder por viola??o sem causar graves dificuldades financeiras para a empresa.

Há várias etapas que você pode seguir para reduzir a MTTD:

• Invista nos melhores talentos e solu??es possíveis de ciberseguran?a.
• Certifique-se de que todas as equipes internas estejam alinhadas e se comunicando em torno de possíveis amea?as cibernéticas.
• Registre incidentes com precis?o e consistência e mantenha um registro de eventos confiável e completo.
• Para cada incidente, sempre examine o que o causou e como evitá-lo ou detectá-lo mais rapidamente daqui para frente.

Outras coisas que podem ajudar as organiza??es a reduzir sua MTTD incluem tecnologias de orquestra??o de seguran?a, automa??o e resposta (SOAR, Security Orchestration, Automation and Response) e planos de resposta a incidentes.

Quem deve usar o MTTD e quando?

Qualquer empresa com sistemas ou redes que precise permanecer ativa e segura pode se beneficiar da medi??o regular de MTTD.

A MTTD deve sempre ser medida nos momentos em que a ocorrência do incidente causaria danos. Por exemplo, para uma instala??o de fabrica??o que opera apenas à noite, você só deve verificar incidentes à noite. N?o faria sentido incluir dados diurnos.

Qual é a próxima métrica após a detec??o?

O MTTD reflete a quantidade de tempo que sua equipe leva para descobrir um possível incidente de seguran?a. Mas o próximo passo após a detec??o é a resposta.

Tempo médio para responder, ou MTTR, é o tempo necessário para controlar, corrigir e/ou erradicar uma amea?a depois que ela é descoberta.

Saiba mais sobre o MTTR .