应急响应指标什么是MTTR、MTTD、MTTA、MTTI、MTTC

什么是MTTR

MTTR(Mean-Time-To-Resolution,平均响应事件)

表示某一问题从被首次报告到最终被技术人员解决所持续的时间。在网络安全领域，MTTR被用来表示网络安全事故从被首次发现到最终被安全运营人员解决之间的时间跨度。

什么是MTTD

MTTD平均故障检测时间（Mean Time to Detect）表示攻击者使用战术和技术在目标网络上首次获得立足到最终被网络或终端安全设备检测出来所持续的时间。

什么是MTTA

MTTA平均确认时间（Mean time to acknowledge）。MTTA是指从系统产生告警到人员开始注意并处理的平均时间。

什么是MTTI

MTTI：平均调查时间（Mean time to investigate）。MTTI是指从确认一个安全事件到开始调查其原因和解决方案的平均时间。

什么是MTTC

MTTC：平均遏制时间（Mean Time to contain）。MTTC是指安全团队找到威胁者并阻止他们进一步进入你的系统和网络所需的时间。

应急响应KPI时间线

1.MTTD：告警群在12:05上报一起安全告警，（假设告警每5分钟同步一次到群里，理想情况下告警应近乎实时）。MTTD：5分钟（12:05 - 12:00 = 5）

2.MTTA：安全运营团队在12:10开始处理此告警并确认这是一起真实的网络入侵事件，同一时间应急响应团队介入。MTTA：5分钟（12:10 - 12:05 = 5）

3.MTTI：应急响应团队在12:25完成初步分析并根据已有应急预案拟定遏制方案。MTTI：15分钟（12:25 - 12:10 = 15）

4.MTTC：根据预案安全运营团队在12:35完成了安全组件的规则调整，并删除已识别的后门木马遏制了攻击者的利用“路径”。为后续的根除威胁争取到了充足的时间。MTTC：30分钟（12:35 - 12:05 = 30）

5.MTTR：12:50正式通知重新上线业务恢复对外服务。MTTR（Respond）：45分钟（12:50 - 12:05 = 45）、MTTR（Recovery）：50分钟（12:50 - 12:00 = 50）；