SOC 指标：MTTD 与 MTTR
衡量检测与响应速度。
SOC 指标：MTTD 与 MTTR 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
指标为何重要
没有指标的 SOC 就像在盲目飞行。指标可以告诉您团队是否在更快地发现威胁、更迅速地响应，并且是否在持续改进。
两个核心指标是MTTD（平均检测时间）和MTTR（平均响应/解决时间）。它们量化了两个最重要的问题：我们发现威胁的速度有多快，以及阻止威胁的速度有多快？
平均检测时间（MTTD）
MTTD衡量攻击开始到 SOC 检测到攻击之间的平均时间。
MTTD 较低意味着攻击者在环境中的潜伏时间更短。每多一小时未被检测到的访问，攻击者就有更多时间横向移动、提升权限，并准备外泄数据。
降低 MTTD 通常需要更完善的检测覆盖范围、经过调优的规则以及更丰富的遥测数据。
平均响应时间（MTTR）
MTTR衡量从检测到解决之间的平均时间。它反映 SOC 遏制并修复已确认威胁的速度。
MTTR 有时还会进一步拆分：
- 确认时间——从检测到分析师接手处理的时间
- 遏制时间——阻止威胁扩散的时间
- 恢复时间——完全恢复正常所需的时间
请始终确认团队采用的是哪种定义，因为“响应”和“解决”并不相同。
计算平均值
这两个指标都是在一个时间范围内，对一组事件进行简单平均得到的。
MTTD = sum(detection_time - attack_start_time) / number_of_incidents
MTTR = sum(resolution_time - detection_time) / number_of_incidents
# Example for 3 incidents (MTTR in hours):
# (2 + 5 + 8) / 3 = 5.0 hours mean time to respond事件的时间线
将时间线可视化，有助于明确每个指标的衡量内容：
Attack starts -----> Detected -----> Acknowledged -----> Contained -----> Resolved
|-------- MTTD --------|
|----------------- MTTR -----------------|
Dwell time = attack start to detection (you want this SMALL)潜伏时间问题
潜伏时间是攻击者在未被检测到的情况下进行活动的时间段。从本质上说，它是 MTTD 在现实中的后果。
行业报告过去通常以数周或数月为单位衡量潜伏时间中位数，尽管检测能力已经有所提升。潜伏时间越长，损害就越大：
- 遭到入侵的系统更多
- 被访问的数据更多
- 清理工作更困难、成本更高
缩短潜伏时间是 SOC 日趋成熟的最明显标志之一。
其他有用的 SOC 指标
MTTD 和 MTTR 是核心指标，但要获得完整背景，还需要配套指标：
- 告警数量——每天的告警总数
- 误报率——不是真实威胁的告警所占比例
- 升级率——超出第 1 层处理范围的告警所占比例
- SLA 合规率——在目标时间内处理的告警所占百分比
- 分析师工作负载——每位分析师每个班次处理的告警数
这些指标结合起来，可以揭示 SOC 是否有效且能够持续运行。
关注误报
较高的误报率会悄无声息地摧毁 SOC 的表现。分析师会浪费时间、感到疲惫，还可能开始忽略嘈杂的告警，形成一种危险状况，即告警疲劳。
如果某条规则产生的告警中有 95% 是误报，那么这条规则需要调优，而不是增加分析师工时。按规则跟踪误报率，可以准确告诉您应将调优精力集中在哪里。
避免操纵指标
指标会影响行为，有时也会诱发错误的行为。如果您只奖励较低的 MTTR，分析师可能会为了达到目标而过早关闭工单。
请注意以下操纵指标的模式：
- 案件尚未真正解决就将其关闭
- 将真实事件重新归类为误报
- 压制嘈杂的检测，而不是修复问题
请将速度指标与重新打开工单的比率等质量指标结合起来，避免速度意味着马虎。
数据质量决定指标质量
指标的质量取决于时间戳的质量。如果分析师忘记更新工单状态，MTTD 和 MTTR 就会失去意义。
可靠的指标需要：
- 准确的检测时间戳和解决时间戳
- 一致的严重程度分类
- 诚实的处置结论（真阳性或误报）
这就是为什么上一课中规范的工单管理能够直接为本课的优质指标提供基础。
使用指标推动改进
只有能够推动行动时，指标才有价值。请定期审查指标，并思考它们传达的信息：
- MTTD 上升？检测覆盖范围可能存在缺口。
- MTTR 上升？响应流程或人员配置可能存在瓶颈。
- 误报率上升？某条规则需要调优。
目标是形成反馈循环：衡量表现、找出薄弱点、改进检测和流程，然后再次衡量。
快速检查
检验您对 SOC 指标的理解。
回顾
您已经学习了如何衡量 SOC 的表现：
- MTTD = 从攻击开始到检测到攻击的时间；数值越低，潜伏时间越短
- MTTR = 从检测到响应/解决的时间；请确认采用的是哪种定义
- 配套指标包括告警数量、误报率、升级率和 SLA 合规率
- 请关注告警疲劳和指标操纵；将速度与质量指标结合起来
- 准确的时间戳和规范的工单管理能让指标值得信赖，并形成持续改进循环
SOC 分析师运营与分级处理课程到此结束。
常见问题解答
「SOC 指标：MTTD 与 MTTR」课时是免费的吗？
是的 — 「SOC 指标：MTTD 与 MTTR」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「SOC 指标：MTTD 与 MTTR」这节课中我会学到什么？
衡量检测与响应速度。 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。
「SOC 指标：MTTD 与 MTTR」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。