SOC-Metriken: MTTD und MTTR

Ein SOC ohne Kennzahlen tappt im Dunkeln. Kennzahlen zeigen Ihnen, ob das Team Bedrohungen schneller erkennt, schneller reagiert und sich im Laufe der Zeit verbessert.

Die beiden wichtigsten Kennzahlen sind MTTD (Mean Time To Detect) und MTTR (Mean Time To Respond/Resolve). Sie quantifizieren die beiden wichtigsten Fragen: Wie schnell erkennen wir Bedrohungen, und wie schnell stoppen wir sie?

MTTD misst die durchschnittliche Zeit zwischen dem Beginn eines Angriffs und dem Zeitpunkt, an dem das SOC ihn erkennt.

Ein niedriger MTTD bedeutet, dass Angreifer weniger Verweildauer in der Umgebung haben. Jede Stunde unentdeckten Zugriffs ermöglicht es einem Angreifer, sich lateral auszubreiten, Berechtigungen auszuweiten und Daten zur Exfiltration vorzubereiten.

Eine Verringerung des MTTD bedeutet in der Regel eine bessere Erkennungsabdeckung, optimierte Regeln und umfangreichere Telemetrie.

MTTR misst die durchschnittliche Zeit von der Erkennung bis zur Behebung. Die Kennzahl zeigt, wie schnell das SOC eine bestätigte Bedrohung eindämmt und beseitigt.

MTTR wird manchmal weiter unterteilt:

• Zeit bis zur Bestätigung — von der Erkennung bis zur Übernahme durch einen Analysten
• Zeit bis zur Eindämmung — die Bedrohung an der Ausbreitung hindern
• Zeit bis zur Wiederherstellung — vollständige Rückkehr zum Normalbetrieb

Prüfen Sie immer, welche Definition Ihr Team verwendet, denn „reagieren“ und „beheben“ sind nicht dasselbe.

Beide Kennzahlen sind einfache Mittelwerte über eine Gruppe von Incidents innerhalb eines bestimmten Zeitraums.

Die Visualisierung des Zeitablaufs macht deutlich, was die einzelnen Kennzahlen messen:

Verweildauer bezeichnet den Zeitraum, in dem ein Angreifer unentdeckt aktiv ist. Sie ist im Grunde die Auswirkung des MTTD in der Praxis.

Branchenberichte haben die mittlere Verweildauer früher in der Regel in Wochen oder Monaten angegeben, auch wenn sich die Erkennung verbessert hat. Je länger die Verweildauer, desto größer der Schaden:

• Mehr kompromittierte Systeme
• Mehr abgerufene Daten
• Aufwendigere und kostspieligere Bereinigung

Eine kürzere Verweildauer ist eines der deutlichsten Zeichen für die Weiterentwicklung eines SOC.

MTTD und MTTR sind die wichtigsten Kennzahlen, benötigen aber ergänzende Kennzahlen für den vollständigen Kontext:

• Alert-Volumen — Gesamtzahl der Alerts pro Tag
• False-Positive-Rate — Anteil der Alerts, die keine tatsächlichen Bedrohungen sind
• Eskalationsrate — Alerts, die über Tier 1 hinaus weitergeleitet werden
• SLA-Einhaltung — Prozentsatz der Alerts, die innerhalb der Zielzeit bearbeitet werden
• Arbeitslast der Analysten — Alerts pro Analyst und Schicht

Zusammen zeigen diese Kennzahlen, ob das SOC effektiv und dauerhaft leistungsfähig ist.

Eine hohe False-Positive-Rate beeinträchtigt die Leistung eines SOC unbemerkt und nachhaltig. Analysten verschwenden Zeit, ermüden und beginnen möglicherweise, laute Alerts zu ignorieren — ein gefährlicher Zustand, der als Alert Fatigue bezeichnet wird.

Sind 95 % der Alerts einer Regel False Positives, muss diese Regel optimiert werden, nicht die Arbeitszeit der Analysten. Wenn Sie die False-Positive-Rate pro Regel erfassen, erkennen Sie genau, worauf sich die Optimierung konzentrieren sollte.

Kennzahlen beeinflussen das Verhalten, manchmal auf die falsche Weise. Wenn Sie nur einen niedrigen MTTR belohnen, schließen Analysten möglicherweise Tickets vorzeitig, um den Zielwert zu erreichen.

Achten Sie auf folgende Muster der Kennzahlenmanipulation:

• Fälle schließen, bevor sie tatsächlich gelöst sind
• echte Incidents als False Positives umklassifizieren
• laute Erkennungen unterdrücken, statt sie zu beheben

Ergänzen Sie Geschwindigkeitskennzahlen um Qualitätskennzahlen wie die Rate wiedereröffneter Tickets, damit schnell nicht mit nachlässig gleichgesetzt wird.

Die Aussagekraft Ihrer Kennzahlen ist nur so gut wie die Qualität Ihrer Zeitstempel. Wenn Analysten vergessen, den Ticketstatus zu aktualisieren, werden MTTD und MTTR bedeutungslos.

Zuverlässige Kennzahlen erfordern:

• korrekte Zeitstempel für Erkennung und Behebung
• eine einheitliche Klassifizierung des Schweregrads
• eine ehrliche Abschlussbewertung (True Positive oder False Positive)

Deshalb liefert die disziplinierte Arbeit mit Tickets aus der vorherigen Lektion hier direkt die Grundlage für gute Kennzahlen.

Kennzahlen sind nur dann wertvoll, wenn sie Maßnahmen auslösen. Prüfen Sie sie regelmäßig und fragen Sie sich, was sie Ihnen sagen:

• MTTD steigt? Die Erkennungsabdeckung weist möglicherweise Lücken auf.
• MTTR steigt? Der Reaktionsprozess oder die Personalausstattung könnte einen Engpass darstellen.
• Die False-Positive-Rate steigt? Eine Regel muss optimiert werden.

Das Ziel ist ein Rückkopplungskreislauf: messen, Schwachstellen erkennen, Erkennungen und Prozesse verbessern und anschließend erneut messen.

Testen Sie Ihr Verständnis der SOC-Kennzahlen.

Sie haben gelernt, wie sich die Leistung eines SOC messen lässt:

• MTTD = Zeit vom Beginn des Angriffs bis zur Erkennung; ein niedrigerer Wert bedeutet eine kürzere Verweildauer
• MTTR = Zeit von der Erkennung bis zur Reaktion oder Behebung; prüfen Sie, welche Definition verwendet wird
• Ergänzende Kennzahlen sind Alert-Volumen, False-Positive-Rate, Eskalationsrate und SLA-Einhaltung
• Achten Sie auf Alert Fatigue und Kennzahlenmanipulation; ergänzen Sie Geschwindigkeitskennzahlen um Qualitätskennzahlen
• Genaue Zeitstempel und diszipliniertes Arbeiten mit Tickets machen Kennzahlen vertrauenswürdig und ermöglichen einen kontinuierlichen Verbesserungsprozess

Damit ist der Kurs „SOC Analyst Operations and Triage“ abgeschlossen.