SOC Ölçümleri: MTTD ve MTTR

Ölçümleri olmayan bir SOC, yolunu göremez. Ölçümler, ekibin tehditleri daha hızlı algılayıp algılamadığını, daha çabuk yanıt verip vermediğini ve zaman içinde gelişip gelişmediğini gösterir.

Öne çıkan iki ölçüm MTTD (Ortalama Algılama Süresi) ve MTTR (Ortalama Yanıt Verme veya Çözüme Ulaştırma Süresi) değerleridir. Bunlar en önemli iki soruyu nicel olarak ifade eder: Tehditleri ne kadar hızlı görüyoruz ve onları ne kadar hızlı durduruyoruz?

MTTD, bir saldırının başladığı an ile SOC'nin saldırıyı algıladığı an arasındaki ortalama süreyi ölçer.

Düşük MTTD, saldırganların ortamda daha kısa fark edilmeden kalma süresine sahip olduğu anlamına gelir. Algılanmadan geçirilen her saat, saldırganın yanal hareket etmesine, ayrıcalıkları yükseltmesine ve dışarı çıkarmak üzere veri hazırlamasına olanak tanır.

MTTD'yi azaltmak genellikle daha iyi algılama kapsamı, ayarlanmış kurallar ve daha zengin telemetri anlamına gelir.

MTTR, algılamadan çözüme kadar geçen ortalama süreyi ölçer. Doğrulanmış bir tehdidin SOC tarafından ne kadar hızlı sınırlandırılıp giderildiğini gösterir.

MTTR bazen daha ayrıntılı biçimde ayrılır:

• Alındıyı onaylama süresi — algılamadan bir analistin olayı üstlenmesine kadar geçen süre
• Sınırlama süresi — tehdidin yayılmasını durdurma süresi
• Kurtarma süresi — normal duruma tamamen dönme süresi

“Yanıt verme” ile “çözüme kavuşturma” aynı olmadığı için ekibinizin hangi tanımı kullandığını her zaman kontrol edin.

Her iki ölçüm de bir zaman aralığındaki bir dizi olayın basit ortalamasıdır.

Zaman çizelgesini görselleştirmek, her ölçümün neyi ölçtüğünü açıklığa kavuşturur:

Fark edilmeden kalma süresi, saldırganın algılanmadan faaliyet gösterdiği dönemdir. Bu süre, esas olarak MTTD'nin gerçek dünyadaki sonucudur.

Sektör raporlarında geçmişte medyan fark edilmeden kalma süreleri haftalar veya aylar olarak ölçülüyordu; ancak algılama becerileri gelişti. Bu süre ne kadar uzunsa hasar da o kadar büyük olur:

• Güvenliği ihlal edilen daha fazla sistem
• Erişilen daha fazla veri
• Daha zor ve daha maliyetli temizleme işlemi

Fark edilmeden kalma süresinin kısalması, bir SOC'nin olgunlaştığının en açık göstergelerinden biridir.

MTTD ve MTTR öne çıkan sayılardır; ancak tam bağlam için destekleyici ölçümlere ihtiyaç duyar:

• Uyarı hacmi — günlük toplam uyarı sayısı
• Yanlış pozitif oranı — gerçek olmayan uyarıların payı
• Üst düzeye aktarma oranı — 1. kademenin ötesine aktarılan uyarılar
• SLA uyumluluğu — hedef süre içinde ele alınan uyarıların yüzdesi
• Analist iş yükü — vardiya başına analist başına düşen uyarı sayısı

Bunlar birlikte, SOC'nin etkili ve sürdürülebilir olup olmadığını ortaya koyar.

Yüksek bir yanlış pozitif oranı, SOC performansını sessizce düşürür. Analistler zaman kaybeder, yorulur ve gürültülü uyarıları görmezden gelmeye başlayabilir; bu da uyarı yorgunluğu denilen tehlikeli bir durumdur.

Bir kuralın uyarılarının %95'i yanlış pozitifse, bu kuralın daha fazla analist saatine değil ayarlanmasına ihtiyacı vardır. Kural başına yanlış pozitif oranını izlemek, ayarlama çabasını tam olarak nereye odaklayacağınızı gösterir.

Ölçümler davranışı yönlendirir; bazen yanlış davranışı. Yalnızca düşük MTTR'yi ödüllendirirseniz analistler hedefi tutturmak için biletleri erkenden kapatabilir.

Şu manipülasyon biçimlerine dikkat edin:

• Gerçekten çözüme kavuşturulmadan vakaları kapatmak
• Gerçek olayları yanlış pozitif olarak yeniden sınıflandırmak
• Gürültülü algılamaları düzeltmek yerine bastırmak

Hızın özensizlik anlamına gelmemesi için hız ölçümlerini, yeniden açılan bilet oranı gibi kalite ölçümleriyle birlikte değerlendirin.

Ölçümleriniz yalnızca zaman damgalarınız kadar iyidir. Analistler bilet durumunu güncellemeyi unutursa MTTD ve MTTR anlamsız hale gelir.

Güvenilir ölçümler şunları gerektirir:

• Doğru algılama ve çözüme ulaştırma zaman damgaları
• Tutarlı önem derecesi sınıflandırması
• Dürüst sonuçlandırma (gerçek pozitif ve yanlış pozitif ayrımı)

Önceki dersteki disiplinli biletleme, burada iyi ölçümlerin temelini doğrudan oluşturur.

Ölçümler ancak eyleme dönüştüklerinde değerlidir. Bunları düzenli olarak gözden geçirin ve size ne anlattıklarını sorun:

• MTTD yükseliyor mu? Algılama kapsamındaki boşluklar soruna neden olabilir.
• MTTR yükseliyor mu? Yanıt süreci veya personel sayısı darboğaz oluşturuyor olabilir.
• Yanlış pozitif oranı artıyor mu? Bir kuralın ayarlanması gerekir.

Amaç bir geri bildirim döngüsü oluşturmaktır: ölçün, zayıflıkları belirleyin, algılamaları ve süreçleri iyileştirin, ardından yeniden ölçün.

SOC ölçümleri konusundaki anlayışınızı sınayın.

SOC performansını nasıl ölçeceğinizi öğrendiniz:

• MTTD = saldırının başlamasından algılamaya kadar geçen süre; düşük olması daha kısa fark edilmeden kalma süresi demektir
• MTTR = algılamadan yanıt vermeye veya çözüme kavuşturmaya kadar geçen süre; hangi tanımın kullanıldığını doğrulayın
• Destekleyici ölçümler arasında uyarı hacmi, yanlış pozitif oranı, üst düzeye aktarma oranı ve SLA uyumluluğu bulunur
• Uyarı yorgunluğuna ve ölçüm manipülasyonuna dikkat edin; hızı kalite ölçümleriyle birlikte değerlendirin
• Doğru zaman damgaları ve disiplinli biletleme, ölçümleri güvenilir kılar ve sürekli iyileştirme döngüsünü besler

Böylece SOC Analisti Operasyonları ve Önceliklendirme kursu tamamlanır.