In der Sicherheitsberichterstattung kann das Ereignis ein Eindringen, ein Kontrollversagen oder ein anderer schädlicher Zustand sein. MTTD ist nur dann aussagekräftig, wenn die Messung angibt, was die Uhr startet, was als Erkennung zählt und welche Fälle eingeschlossen sind.
Mögliche Startpunkte sind die erste bösartige Aktion, der erste beobachtbare Beweis oder der Beginn der Auswirkung. Der Endpunkt kann der erste Alarm, die Analystenvalidierung oder die formale Vorfalldeklaration sein. Diese Wahlmöglichkeiten erzeugen unterschiedliche Zahlen, sodass Vergleiche zwischen Teams oder Organisationen meist ungültig sind, wenn Definitionen, Populationen und Datenqualität nicht übereinstimmen.
Wichtigste Punkte
Messung definierenStart- und Endereignis, Zeitquelle, Population, Ausschlüsse, Behandlung von Pausen und Umgang mit retrospektiv entdeckten Vorfällen dokumentieren.
Verteilung berichtenDen Mittelwert mit Median, Perzentilen, Stichprobengröße und Segmentierung nach Vorfalltyp oder Schwere kombinieren; wenige lange Fälle können einen Durchschnitt dominieren.
Vorsichtig interpretierenVeränderungen können verbesserte Telemetrie oder Untersuchung widerspiegeln, aber auch Umkategorisierung, Fallzusammensetzung, fehlende Zeitstempel oder Berichtsweisen.
Wichtige EinschränkungMTTD umfasst nur Ereignisse, die letztlich entdeckt und erkannt wurden. Unerkannte Vorfälle fehlen und erzeugen einen Survivorship Bias, während kürzlich eröffnete Fälle möglicherweise noch keine vollständigen Zeitlinien haben.