É«¿Ø´«Ã½

Le temps moyen de d¨¦tection, ou MTTD (Mean Time To Detect en anglais), est le d¨¦lai moyen n¨¦cessaire ¨¤ l¡¯¨¦quipe DevOps d¡¯une organisation pour d¨¦tecter un probl¨¨me comme un bug logiciel ou une d¨¦faillance mat¨¦rielle.

Le MTTD est l¡¯un des indicateurs cl¨¦s de performance de la gestion des incidents. Bien ¨¦videmment, si un probl¨¨me survient dans une organisation, plus il est d¨¦couvert t?t, mieux c¡¯est. Les incidents peuvent souvent aboutir ¨¤ un arr¨ºt du syst¨¨me dont le co?t moyen, selon l¡¯agence Gartner, est de .

M¨ºme si le MTTD n¡¯est pas le seul indicateur dont disposent les ¨¦quipes DevOps, c¡¯est l¡¯un des plus faciles ¨¤ suivre et ¨¤ mesurer, et il est essentiel pour les organisations qui souhaitent ¨¦viter les probl¨¨mes de type panne syst¨¨me.

Comment calculer le MTTD?: proc¨¦dure pas ¨¤ pas

Pour calculer le MTTD?:

1. Suivre l¡¯ensemble des incidents ¨¤ l¡¯aide de diff¨¦rents outils?: journaux, support technique et/ou syst¨¨me de d¨¦tection d¡¯intrusion (vous trouverez davantage d¡¯informations sur ces outils plus bas).
2. D¨¦terminer l¡¯objectif du calcul du MTTD et les ¨¦quipements ou personnels concern¨¦s. Le MTTD est g¨¦n¨¦ralement calcul¨¦ pour une installation ou un syst¨¨me donn¨¦s et sur une p¨¦riode donn¨¦e, par exemple une nuit, une semaine, un mois ou un an. Il peut ¨¦galement ¨ºtre calcul¨¦ pour un technicien ou une ¨¦quipe sp¨¦cifique.
3. Avec les outils indiqu¨¦s pr¨¦c¨¦demment, calculer la diff¨¦rence entre l¡¯heure de d¨¦but et l¡¯heure de d¨¦tection de chaque incident sur la p¨¦riode choisie.
4. Diviser la somme des d¨¦lais de d¨¦tection des incidents par le nombre d¡¯incidents.

Imaginons par exemple que l¡¯¨¦quipe de support 24x7 des op¨¦rations d¡¯un gros constructeur de pi¨¨ces automobiles suive le MTTD hebdomadaire de l¡¯usine enti¨¨re. Sur la semaine du 7 au 11?f¨¦vrier?2022, quatre incidents ont ¨¦t¨¦ enregistr¨¦s. Gr?ce aux journaux syst¨¨me, l¡¯¨¦quipe a pu d¨¦terminer l¡¯heure de d¨¦but et l¡¯heure de d¨¦tection de chaque incident et les a consign¨¦es dans le tableau suivant?:

Le temps moyen de d¨¦tection est calcul¨¦ comme suit?:

(118 + 53 + 148 + 85)/4

MTTD = 101?minutes

Avec ce chiffre, le fabricant de pi¨¨ces automobiles pourra ensuite comparer le MTTD de la semaine en question avec ceux des autres semaines, ou avec celui de la m¨ºme semaine l¡¯ann¨¦e pr¨¦c¨¦dente. S¡¯il avait calcul¨¦ le MTTD pour une ¨¦quipe donn¨¦e, il pourrait utiliser le r¨¦sultat pour ¨¦valuer la progression dans le temps de la performance de l¡¯¨¦quipe. Certaines soci¨¦t¨¦s d¨¦cident de ne pas tenir compte des valeurs aberrantes, et beaucoup d¡¯entre elles classent les incidents par ordre de gravit¨¦ pour d¨¦terminer si le MTTD obtenu est diff¨¦rent selon la gravit¨¦ des probl¨¨mes.

Quels outils sont n¨¦cessaires pour surveiller le MTTD??

La surveillance du MTTD consiste essentiellement ¨¤ suivre tout ce qui peut constituer un ¨¦v¨¦nement ou un probl¨¨me, avec des crit¨¨res tr¨¨s diff¨¦rents selon les organisations.

Les principaux outils n¨¦cessaires pour surveiller le MTTD sont les suivants?:

Journaux?: les journaux sont des documents, produits et horodat¨¦s automatiquement, sur les ¨¦v¨¦nements relatifs ¨¤ un syst¨¨me informatique ou ¨¤ une application logicielle donn¨¦s. Par exemple, le journal d¡¯acc¨¨s d¡¯un serveur Web r¨¦pertorie tous les fichiers demand¨¦s sur un site Web, y compris les fichiers HTML et tous les autres fichiers associ¨¦s qui sont transmis. On peut ¨¦galement prendre l¡¯exemple d¡¯un journal de base de donn¨¦es qui enregistre toutes les activit¨¦s au niveau de la base de donn¨¦es, et notamment les modifications apport¨¦es aux enregistrements.

Support technique?: le support technique est un centre d¡¯assistance centralis¨¦ pour les utilisateurs d¡¯un produit qui demandent de l¡¯aide sur diff¨¦rents sujets relatifs ¨¤ ce produit, en particulier en cas de probl¨¨me informatique. Il peut s¡¯agir d¡¯un service physique, d¡¯un centre d¡¯appel en ligne ou d¡¯un syst¨¨me de cr¨¦ation de tickets utilisant des applications en mode SaaS. Les centres de support technique sont ¨¦quip¨¦s d¡¯une base de connaissances qui conserve une trace des probl¨¨mes rencontr¨¦s par les clients (description du probl¨¨me, heure d¡¯identification et modalit¨¦ de r¨¦solution).

Syst¨¨mes de d¨¦tection d¡¯intrusion?: un syst¨¨me de d¨¦tection d¡¯intrusion (IDS) est un syst¨¨me qui surveille le trafic r¨¦seau ¨¤ la recherche d¡¯activit¨¦s suspectes et qui, s¡¯il en d¨¦tecte, g¨¦n¨¨re des alertes. Les principales fonctions d¡¯un syst¨¨me de d¨¦tection d¡¯intrusion sont le signalement et la d¨¦tection des anomalies. Mais certains syst¨¨mes IDS peuvent ¨¦galement agir s¡¯ils d¨¦tectent une activit¨¦ malveillante, par exemple bloquer le trafic en provenance d¡¯une adresse IP suspecte.

Qu¡¯est-ce qu¡¯un MTTD correct??

La d¨¦finition d¡¯un MTTD ??correct?? varie consid¨¦rablement selon la soci¨¦t¨¦ concern¨¦e, le produit, le secteur et la menace ou l¡¯intrusion que la soci¨¦t¨¦ souhaite emp¨ºcher ou intercepter. De toute ¨¦vidence, le meilleur MTTD serait un MTTD nul, qui signifierait que vous attrapez l¡¯auteur de la menace avant m¨ºme qu¡¯il ait pu causer des d¨¦g?ts.

Un MTTD de z¨¦ro est, bien s?r, tr¨¨s difficile ¨¤ atteindre. Selon le , cr¨¦ateur du banc d¡¯essai de r¨¦f¨¦rence pour le MTTD, le d¨¦lai moyen d¡¯identification et d¡¯endiguement d¡¯une violation des donn¨¦es ¨¦taient de 280?jours en 2020 et de 279?jours en 2019.

Pour d¨¦terminer quel serait un MTTD correct pour votre soci¨¦t¨¦, vous devez regarder la moyenne globale de l¡¯ensemble des soci¨¦t¨¦s, mais ¨¦galement essayer d¡¯obtenir des informations sur le niveau de MTTD des autres entreprises de votre secteur. Vous devez ¨¦galement calculer le co?t d¡¯une violation des donn¨¦es moyenne pour votre soci¨¦t¨¦, et le montant qu¡¯elle peut se permettre de perdre ¨¤ chaque violation sans entra?ner de graves difficult¨¦s financi¨¨res.

Diff¨¦rentes mesures permettent de r¨¦duire le MTTD?:

• Investir dans les meilleurs talents et les meilleures solutions de cybers¨¦curit¨¦.
• S¡¯assurer que toutes les ¨¦quipes internes sont en accord et qu¡¯elles communiquent sur les cybermenaces potentielles.
• Enregistrer les incidents de fa?on pr¨¦cise et constante et maintenir ¨¤ jour un journal d¡¯¨¦v¨¦nements fiable et complet.
• Toujours ¨¦tudier la cause de chaque incident, ainsi que les moyens de l¡¯¨¦viter ou de le d¨¦tecter plus rapidement ¨¤ l¡¯avenir.

Parmi les autres actions qui peuvent aider les organisations ¨¤ r¨¦duire leur MTTD, on peut noter les technologies SOAR (Orchestration, automatisation et r¨¦ponse aux incidents) et les plans de r¨¦ponse aux incidents.

Qui doit utiliser le MTTD et ¨¤ quel moment??

Toute soci¨¦t¨¦ dont les syst¨¨mes ou les r¨¦seaux doivent rester en ¨¦tat de fonctionnement et en s¨¦curit¨¦ peuvent tirer profit d¡¯une mesure r¨¦guli¨¨re du MTTD.

Le MTTD doit ¨ºtre syst¨¦matiquement mesur¨¦ aux moments o¨´ la survenue d¡¯un incident provoquerait des d¨¦g?ts. Par exemple, pour une usine de fabrication fonctionnant uniquement de nuit, la d¨¦tection d¡¯incidents n¡¯est utile que de nuit. L¡¯inclusion des donn¨¦es de la journ¨¦e n¡¯aurait pas de sens.

Quel indicateur utiliser apr¨¨s le MTTD??

Le MTTD rend compte du d¨¦lai n¨¦cessaire ¨¤ votre ¨¦quipe pour d¨¦tecter un incident de s¨¦curit¨¦ potentiel. Mais la d¨¦tection doit ¨ºtre suivie d¡¯une r¨¦solution.

Le temps moyen de r¨¦solution, ou MTTR, est le d¨¦lai n¨¦cessaire pour ma?triser, r¨¦soudre et/ou ¨¦radiquer une menace une fois d¨¦couverte.

En savoir plus sur le MTTR.