Metrik SOC: MTTD dan MTTR

SOC tanpa metrik bekerja tanpa panduan. Metrik menunjukkan apakah tim mendeteksi ancaman dengan lebih cepat, merespons dengan lebih sigap, dan terus berkembang.

Dua metrik utama adalah MTTD (Waktu Rata-rata untuk Mendeteksi) dan MTTR (Waktu Rata-rata untuk Merespons/Menyelesaikan). Keduanya mengukur dua pertanyaan terpenting: Seberapa cepat kita melihat ancaman, dan seberapa cepat kita menghentikannya?

MTTD mengukur waktu rata-rata antara saat serangan dimulai dan saat SOC mendeteksinya.

MTTD yang rendah berarti penyerang memiliki waktu berdiam yang lebih singkat di dalam lingkungan. Setiap jam akses yang tidak terdeteksi memungkinkan penyerang bergerak secara lateral, meningkatkan hak akses, dan menyiapkan data untuk diekstraksi.

Mengurangi MTTD biasanya memerlukan cakupan deteksi yang lebih baik, aturan yang disetel, dan telemetri yang lebih kaya.

MTTR mengukur waktu rata-rata sejak deteksi hingga penyelesaian. Metrik ini mengukur seberapa cepat SOC membatasi dan memulihkan ancaman yang telah dikonfirmasi.

MTTR terkadang diuraikan lebih lanjut:

• Waktu untuk mengonfirmasi — sejak deteksi hingga seorang analis menanganinya
• Waktu untuk membatasi — menghentikan penyebaran ancaman
• Waktu untuk memulihkan — memulihkan seluruh sistem ke kondisi normal

Selalu periksa definisi yang digunakan tim Anda, karena “merespons” dan “menyelesaikan” tidaklah sama.

Kedua metrik tersebut merupakan nilai rata-rata sederhana dari sekumpulan insiden dalam rentang waktu tertentu.

Memvisualisasikan linimasa memperjelas hal yang diukur oleh setiap metrik:

Waktu berdiam adalah periode ketika penyerang beroperasi tanpa terdeteksi. Pada dasarnya, waktu ini merupakan konsekuensi nyata MTTD.

Laporan industri secara historis mengukur median waktu berdiam dalam hitungan minggu atau bulan, meskipun kemampuan deteksi telah meningkat. Semakin lama waktu berdiam, semakin besar kerusakannya:

• Lebih banyak sistem yang disusupi
• Lebih banyak data yang diakses
• Pembersihan yang lebih sulit dan mahal

Menyusutkan waktu berdiam merupakan salah satu tanda paling jelas bahwa SOC semakin matang.

MTTD dan MTTR merupakan angka utama, tetapi keduanya memerlukan metrik pendukung untuk memberikan konteks yang lengkap:

• Volume peringatan — jumlah total peringatan per hari
• Tingkat positif palsu — persentase peringatan yang tidak nyata
• Tingkat eskalasi — peringatan yang naik melampaui Tingkat 1
• Kepatuhan terhadap SLA — persentase peringatan yang ditangani dalam waktu target
• Beban kerja analis — jumlah peringatan per analis setiap giliran

Secara bersama-sama, metrik ini menunjukkan apakah SOC efektif dan dapat berkelanjutan.

Tingkat positif palsu yang tinggi secara diam-diam merusak kinerja SOC. Analis membuang waktu, mengalami kelelahan, dan mungkin mulai mengabaikan peringatan yang terlalu banyak menimbulkan gangguan, suatu kondisi berbahaya yang disebut kelelahan akibat peringatan.

Jika 95% peringatan dari suatu aturan merupakan positif palsu, aturan tersebut memerlukan penyetelan, bukan tambahan jam kerja analis. Melacak tingkat positif palsu untuk setiap aturan memberi tahu Anda secara tepat bagian yang perlu diprioritaskan dalam upaya penyetelan.

Metrik mendorong perilaku, terkadang perilaku yang keliru. Jika Anda hanya memberi penghargaan berdasarkan MTTR yang rendah, analis mungkin menutup tiket terlalu dini untuk mencapai angka tersebut.

Waspadai pola manipulasi:

• Menutup kasus sebelum benar-benar terselesaikan
• Mengklasifikasikan ulang insiden nyata sebagai positif palsu
• Menekan deteksi yang menghasilkan banyak gangguan alih-alih memperbaikinya

Padukan metrik kecepatan dengan ukuran kualitas, seperti tingkat tiket yang dibuka kembali, agar kecepatan tidak berarti kecerobohan.

Kualitas metrik Anda hanya sebaik cap waktunya. Jika analis lupa memperbarui status tiket, MTTD dan MTTR menjadi tidak bermakna.

Metrik yang andal memerlukan:

• Cap waktu deteksi dan penyelesaian yang akurat
• Klasifikasi tingkat keparahan yang konsisten
• Penetapan hasil yang jujur (positif benar dibandingkan positif palsu)

Inilah sebabnya penerapan sistem tiket yang disiplin dari pelajaran sebelumnya secara langsung mendukung metrik yang baik di sini.

Metrik hanya bernilai jika mendorong tindakan. Tinjau metrik secara berkala dan tanyakan apa yang ditunjukkannya kepada Anda:

• MTTD meningkat? Cakupan deteksi mungkin memiliki celah.
• MTTR meningkat? Proses respons atau jumlah personel mungkin menjadi hambatan.
• Tingkat positif palsu meningkat? Suatu aturan memerlukan penyetelan.

Tujuannya adalah siklus umpan balik: mengukur, mengidentifikasi kelemahan, meningkatkan deteksi dan proses, lalu mengukur kembali.

Uji pemahaman Anda tentang metrik SOC.

Anda telah mempelajari cara mengukur kinerja SOC:

• MTTD = waktu sejak serangan dimulai hingga terdeteksi; nilai yang lebih rendah berarti waktu berdiam yang lebih singkat
• MTTR = waktu sejak deteksi hingga respons/penyelesaian; pastikan definisi yang digunakan
• Metrik pendukung mencakup volume peringatan, tingkat positif palsu, tingkat eskalasi, dan kepatuhan terhadap SLA
• Waspadai kelelahan akibat peringatan dan manipulasi metrik; padukan kecepatan dengan ukuran kualitas
• Cap waktu yang akurat dan penerapan sistem tiket yang disiplin membuat metrik dapat dipercaya serta mendukung siklus peningkatan berkelanjutan

Dengan ini, kursus Operasi dan Triage Analis SOC telah selesai.