L’MTTD, ovvero il tempo medio necessario per l’ Detect (rilevamento e risposta), è un indicatore chiave di prestazione (KPI) utilizzato nel settore della sicurezza informatica e nelle operazioni IT per misurare il tempo medio necessario per Detect un incidente di sicurezza, una minaccia o un problema dal momento in cui si verifica.
Conosciuto anche come “mean time to identify” (MTTI) e “mean time to discover” (MTTD), un valore di MTTD più basso indica che un’organizzazione è in grado di identificare e rispondere agli incidenti più rapidamente, il che è fondamentale per ridurre al minimo i potenziali danni e mitigare i rischi.
Man mano che la nostra dipendenza dalla tecnologia cresce, comprendere e migliorare l’MTTD riveste un ruolo significativo nel ridurre le interruzioni dell’attività e i tempi di inattività, nel migliorare l’esperienza dell’utente finale e, in ultima analisi, nell’aumentare la redditività.
Il monitoraggio regolare dell’MTTD fornisce preziose informazioni, basate sui dati, sui punti di forza, sulle vulnerabilità e sulle inefficienze delle misure di sicurezza esistenti.
In questo articolo approfondiremo la metrica MTTD, la sua importanza e alcune misure pratiche e strumenti di gestione che potete utilizzare per migliorare le vostre capacità di rilevamento, nonché per anticipare e prevenire le minacce prima che degenerino in interruzioni del servizio.
Cosa significa l'acronimo MTTD?
MTTD è l'acronimo di “mean time to Detect” (tempo medio di risposta al guasto). Questo indicatore fondamentale nella gestione degli incidenti informatici misura il tempo medio necessario per individuare un’attività anomala.
Il monitoraggio e la riduzione al minimo del MTTD sono necessari per comprendere l’efficacia delle attuali capacità di monitoraggio della sicurezza e di risposta agli incidenti, tra cui:
- Valutazione della rapidità e dell’efficienza dei processi di rilevamento delle minacce
- Analisi comparativa e miglioramento delle operazioni di sicurezza nel tempo
- Evidenziare le lacune o i punti deboli presenti nei controlli di sicurezza esistenti, nelle soluzioni di monitoraggio e nel Suo piano di risposta agli incidenti
- Limitare il tempo complessivo durante il quale gli autori degli attacchi possono agire senza essere individuati, riducendo potenzialmente la perdita di dati, i disagi per gli utenti finali e i danni al sistema
- Valutazione e miglioramento del livello di maturità dei programmi di sicurezza
Perché è importante misurare l’MTTD?
Esaminiamo un esempio recente di attacco per comprendere quanto sia importante la comprensione dell’MTTD.
Come riportato su aprile 2024, , Dell è stata vittima di un attacco di forza bruta che alla fine ha compromesso i propri sistemi. L’hacker, noto con il nome di Menelik, ha inviato oltre 5.000 richieste al minuto per quasi tre settimane a una pagina del portale dei partner Dell, per un totale di oltre 50 milioni di richieste.
Dell non se ne è accorto. L'hacker ha sottratto a 49 milioni di record relativi ai clienti e ha poi inviato un'e-mail a Dell per informarla dell'accaduto.
È possibile che Dell non si sia accorta dell’intrusione di Menelik qualora non disponesse di un sistema di monitoraggio della sicurezza completo in grado di rilevare gli attacchi basati sul web, qualora il proprio sistema non fosse stato configurato per eseguire l’ Detect e e segnalare tale attività, oppure qualora i suoi team di risposta agli incidenti e DevOps fossero stati sopraffatti dai falsi positivi, con la conseguenza di non aver rilevato l’allerta.
Se Dell dovesse considerare questo episodio come un caso isolato, la sua risposta potrebbe concentrarsi su soluzioni rapide, quali l’applicazione di patch alle vulnerabilità e il miglioramento dei protocolli relativi alle password. Sebbene tali misure possano impedire futuri attacchi come quello denominato “Menelik”, non risolveranno il problema alla radice. Un approccio più efficace consisterebbe nell’analizzare collettivamente i loro tempi medi di risposta (MTTD) per individuare le tendenze nei loro processi di gestione degli incidenti.
Qual è la differenza tra MTTR e MTTD?
Sebbene il tempo medio di riparazione (MTTR) , il tempo medio di risposta ( ) e il tempo medio di risoluzione (MTTD) siano indicatori essenziali per valutare l’efficienza operativa, ciascuno di essi viene utilizzato per misurare aspetti diversi della risposta e della gestione dei problemi. Tra le differenze figurano:
- L'MTTR ( ) si concentra sulla misurazione del tempo necessario per risolvere il problema. L’acronimo MTTR viene spesso utilizzato come sinonimo di altre metriche, quali il tempo medio di risoluzione (mean time to resolve) e il tempo medio di risposta (mean time to respond).
Tuttavia, il tempo medio di risoluzione ( ) copre in genere l’intero processo di risoluzione del problema, dall’individuazione alla diagnosi, dalla riparazione al ripristino del servizio. Analogamente, il tempo medio di risposta ( ) e il tempo medio di risoluzione () misurano il tempo impiegato da un’organizzazione per intervenire sul problema una volta che questo è stato individuato. - L'MTTD ( ) si concentra esclusivamente sul tempo che intercorre tra il verificarsi di un incidente e la sua individuazione da parte dei soggetti interessati, quali i team DevOps, IT, di gestione degli incidenti e del Security Operation Center (SOC). L’MTTD si concentra sulla rapidità con cui i team sono in grado di individuare un problema e valuta in particolare l’efficacia dei sistemi utilizzati per il monitoraggio e la segnalazione degli allarmi.
Due parametri correlati all’MTTD sono il tempo medio di guasto (MTTF) e il tempo medio tra i guasti (MTBF), che possono aiutare le organizzazioni a individuare eventuali problemi relativi alla disponibilità:
- Il MTTF ( , tempo medio prima del guasto) misura la durata media dei componenti non riparabili, aiutando i team a prepararsi alla loro sostituzione.
- L'MTBF ( ) misura il tempo medio che intercorre tra i guasti del sistema durante il normale funzionamento dei sistemi riparabili. Questo indicatore riflette l'affidabilità complessiva del sistema.
Nel loro insieme, questi indicatori offrono una visione completa dei processi di risposta agli incidenti, delle strategie di gestione degli incidenti e delle iniziative volte a garantire l’affidabilità dei sistemi di un’organizzazione e possono aiutare i team di risposta a individuare le aree in cui è possibile ottimizzare i flussi di lavoro e migliorare l’infrastruttura.
Come si calcola l’MTTD?
Il calcolo dell'MTTD risulta semplice se si utilizzano dati accurati relativi al rilevamento degli incidenti. Si misuri il tempo che intercorre tra l’inizio di un incidente e la sua individuazione, quindi si calcoli la media di tali tempi in base al numero di guasti.
Ad esempio, se per l’ Detect di quattro incidenti sono stati impiegati rispettivamente 60, 77, 45 e 30 minuti, l’MTTD è pari a 53 minuti.
53 = (60 + 77 + 45 + 30) / 4 La formula è: MTTD = (Tempo totale di rilevamento) / Numero totale di incidenti
È possibile affinare i calcoli relativi al MTTD eliminando i valori anomali o classificando gli incidenti in base alla gravità, al fine di ottenere una visione più articolata delle diverse problematiche. Disporre di calcoli MTTD affidabili creerà un ciclo di feedback a sostegno del miglioramento continuo delle vostre capacità di risposta agli incidenti e del successo complessivo dei vostri obiettivi di monitoraggio e gestione della sicurezza.
Quali fattori possono influenzare il MTTD nella risposta agli incidenti?
Per alcune organizzazioni, ridurre il tempo medio di risposta ( Detect ) può rivelarsi complesso. Di seguito sono riportate alcune difficoltà comuni che possono rappresentare un ostacolo:
- Visibilità ridotta: Se un’organizzazione non dispone di una visibilità completa su ogni dispositivo endpoint presente in ogni angolo della propria rete, è inevitabile che si creino punti ciechi in cui attività sospette possano passare inosservate. Tali punti ciechi comportano tempi di rilevamento più lunghi.
- Processi di rilevamento compartimentati: Quando i team non operano secondo lo stesso modello di riferimento, basato su processi di rilevamento standardizzati o su, ciò può portare a inefficienze e sovrapposizioni che causano ritardi nell’identificazione delle minacce e nella risposta agli incidenti.
- Risorse limitate: Molte organizzazioni incontrano difficoltà perché dispongono di team di sicurezza ridotti o sovraccarichi di lavoro. Senza le competenze e gli strumenti adeguati, la risposta agli allarmi e alle potenziali minacce può richiedere più tempo, rendendo difficile il raggiungimento di un MTTD basso.
- Informazioni obsolete sulle minacce: Gli hacker trascorrono il tempo libero a escogitare nuovi stratagemmi informatici. Le organizzazioni devono tenersi aggiornate sulle ultime informazioni relative alle minacce fornite dall’ per contrastarle efficacemente. Cercare di recuperare il ritardo rende più difficile individuare tempestivamente gli incidenti relativi all’ Detect .
- Affaticamento da avvisi: Quando i team vengono sommersi da avvisi — in particolare da falsi positivi — è facile trascurare le minacce reali. Riducete il rumore superfluo dando priorità agli avvisi in base alla gravità, utilizzando filtri automatici e ottimizzando le vostre regole di rilevamento.
Affrontare queste sfide può contribuire a ridurre il MTTD e a garantire una maggiore sicurezza alle organizzazioni.
Quali strategie possono adottare le organizzazioni per ridurre il tempo medio di rilevamento (MTTD)?
Un valore basso dell’MTTD non significa solo rispondere più rapidamente a un incidente, ma anche attuare pratiche che garantiscano il rilevamento proattivo e la risoluzione dei problemi prima che questi si aggravino.
Di seguito sono riportate cinque buone pratiche che le organizzazioni possono adottare per affrontare in modo proattivo l’MTTD:
Si assicuri di avere un'idea chiara
piano di risposta agli incidenti
Rendete il rilevamento e la risposta un’abitudine innata, in modo da non dover indovinare la loro prossima mossa quando si verifica un incidente. Elabori piani che definiscano i ruoli e le responsabilità dei membri del team, unitamente alle misure che essi devono adottare nel corso di un incidente, comprese le indagini, il contenimento, le procedure di ripristino, nonché i modelli e le procedure di notifica. Una volta al trimestre, organizzi esercitazioni (spesso denominate “esercitazioni teoriche”) per mantenere aggiornate le reazioni dei team e il piano di risposta agli incidenti.
- Investite in endpoint strumenti di gestione che supportino una maggiore osservabilità
Avete bisogno di una visione in tempo reale di ciò che sta accadendo nei vostri sistemi. Ciò consentirà ai team di effettuare l’ Detecte, individuare i problemi e risolverli con tempi di inattività o interruzioni minimi, spesso prima ancora che questi abbiano ripercussioni sugli utenti. Tale approccio è particolarmente fondamentale per i sistemi complessi e distribuiti, quali le applicazioni cloud-native o i microservizi, in cui individuare con precisione i problemi può rivelarsi difficile.
- Automatizzate dove possibile
L’automazione contribuisce a ridurre il tempo medio di rilevamento degli incidenti (MTTD) identificando e segnalando rapidamente le anomalie, avviando protocolli di risposta predefiniti e semplificando il processo di notifica degli incidenti. Alcune soluzioni standard di automazione della sicurezza possono fornire agli addetti alla risposta informazioni immediate per ridurre il tempo medio di rilevamento e risposta (MTTD), tra cui:
• Rilevamento degli incidenti: Gli strumenti di monitoraggio automatizzato analizzano continuamente i sistemi alla ricerca di anomalie
• Assegnazione delle priorità agli avvisi: I sistemi automatizzati classificano e assegnano priorità agli avvisi in base a criteri predefiniti
• Diagnostica iniziale: Gli script automatizzati raccolgono informazioni preliminari su un problema prima dell’intervento umano - Formazione continua del team
Gli strumenti di monitoraggio generano enormi quantità di dati. Per utilizzare efficacemente questi dati, i team devono tenersi aggiornati sulle ultime informazioni relative alle minacce e sulle tecnologie emergenti, sviluppando al contempo le competenze necessarie per interpretare modelli complessi e individuare le anomalie. La formazione continua garantirà che i team operativi e informatici siano in grado di analizzare i dati in modo efficace, individuare tempestivamente eventuali problemi e intervenire in modo proattivo per prevenire interruzioni del servizio.
Analisi post-mortem imparziali
Dopo un incidente, non perdete tempo a cercare un colpevole. Sfrutti invece questa esperienza come un’opportunità di crescita.
Un’analisi post mortem accurata può mettere in luce cosa è andato storto e come risolvere più rap Detect i problemi futuri. Iniziate creando un ambiente sicuro in cui le parti interessate si sentano a proprio agio nel condividere le proprie opinioni senza timore di essere biasimate o di subire ritorsioni.
Documentate i risultati e le decisioni prese e concludete l’analisi post-evento con un elenco di azioni da intraprendere e una tempistica per la loro attuazione. L'obiettivo è trasformare ogni incidente in un'opportunità di crescita, riducendone la probabilità di ripetersi e migliorando al contempo i tempi MTTD e MTTR.
Come migliorare l’MTTD con l’ Tanium
Il miglioramento del tempo medio di rilevamento è fondamentale per ridurre al minimo l'impatto degli incidenti di sicurezza. Soluzioni quali
Tanium Incident Response
sono fondamentali per aiutare le organizzazioni a raggiungere tale obiettivo.
Grazie a “ Tanium”, le organizzazioni ottengono una visibilità in tempo reale su ogni “ endpoint”, garantendo che nessuna minaccia passi inosservata e aiutando i team a identificare rapidamente, diagnosticare in tempi brevi e intervenire sulle anomalie relative alle prestazioni e alla sicurezza prima che si trasformino in eventi di sicurezza, abbreviando così il tempo medio di rilevamento e risposta (MTTD) dell’organizzazione e riducendo il ciclo di vita degli incidenti.
Sfruttare le potenzialità di AEM
Al fine di fornire analisi di nuova generazione basate sull’intelligenza artificiale e processi automatizzati per il rilevamento e la risoluzione delle minacce, la gestione delle patch e altre attività di gestione dell’ endpoint , la piattaforma Tanium offre alle organizzazioni potenti strumenti per proteggere le reti e gli endpoint da attacchi informatici sofisticati.
Scoprite come le organizzazioni possono utilizzare Tanium per individuare e Detect i problemi di sicurezza sui propri endpoint in tempo reale, come illustrato in questo esempio relativo alla vulnerabilità Log4j :
Tanium consente ai team di collaborare tra i vari reparti, raccogliere dati in tempo reale e risolvere i problemi su un’unica piattaforma senza causare disagi agli utenti finali.
Potete richiedere una demo, personalizzata in base al vostro ambiente e alle vostre esigenze aziendali, per sperimentare in prima persona questi vantaggi.
