MTTD ve MTTR ölçümü, yönetim sunumlarında güvenlik performansının özeti gibi kullanılır; oysa iki sayı da neyin sayıldığına bağlı olarak kolayca yanıltıcı hale gelir. Bir kurum ortalama tespit süresini sekiz dakika olarak raporlarken, aynı ay içinde bir kimlik bilgisi kötüye kullanımı vakasını on bir gün sonra fark etmiş olabilir. İki bilgi de doğrudur: sekiz dakika, otomatik kapanan yüzlerce düşük öncelikli alarmın ortalamasıdır; on bir gün ise gerçekten önemli olan vakanın süresidir.
Bu yazıda MTTD (ortalama tespit süresi) ve MTTR (ortalama yanıt süresi) kavramlarının neyi ölçtüğü, ölçümü bozan yaygın uygulamalar, sayının yanına konması gereken göstergeler ve iddia edilen sürelerin bağımsız olarak nasıl doğrulanacağı ele alınıyor. Amaç metrikleri terk etmek değil, onlara güvenilebilir hale getirmektir.
İki metrik gerçekte neyi sayar
MTTD, kötü niyetli etkinliğin başladığı an ile güvenlik ekibinin bunu bir olay olarak kabul ettiği an arasındaki süredir. MTTR ise kabul anından, tehdidin etkisiz hale getirildiği ana kadar geçen süreyi ifade eder. İkisi arasında çoğu kurumun raporlamadığı üçüncü bir süre vardır: alarmın üretildiği an ile bir insanın ona bakıp anlamlandırdığı an arasındaki triyaj gecikmesi.
Bu üçlü ayrılmadığında sorunun nerede olduğu görünmez. Tespit teknolojisi doğru alarmı üretmiş ama kuyrukta beklemişse sorun tespit değil kapasitedir. Alarm hiç üretilmemişse sorun görünürlüktedir. Alarm üretilmiş, hızla görülmüş ama izolasyon yetkisi olmadığı için beklenmişse sorun süreçtedir. Üç farklı sorunun tek bir sayıyla temsil edilmesi, iyileştirme bütçesinin yanlış yere gitmesine yol açar.
Sayaç ne zaman başlamalı
Ölçümün en tartışmalı noktası başlangıç anıdır. Uygulamada üç farklı t0 kullanılır ve aralarındaki fark saatler değil günlerdir.
- Saldırının gerçekte başladığı an: yalnızca olay sonrası adli analizle geriye dönük belirlenir, en dürüst ölçüdür
- İlk teknik izin log kaydına düştüğü an: veri toplama kapsamı yeterliyse makul bir yaklaşımdır
- Alarmın üretildiği an: ölçmesi en kolay, gerçeği en çok gizleyen seçenektir
Aynı olayda bu üç başlangıcın verdiği sonuç birbirinden bağımsız değildir; aralarındaki mesafe zaten başlı başına bir bulgudur. İlk teknik iz ile alarm arasında günler varsa, sorun yanıt hızında değil, verinin hiç sorgulanmamasındadır.
Üçüncüsünü kullanan bir kurum, hiç alarm üretmeyen saldırıları istatistiğinden tamamen dışlar. Deneyimli bir kurumsal siber güvenlik danışmanlığı ekibi, metriği devralırken ilk iş olarak t0 tanımını sorar; tanım yazılı değilse sayı da karşılaştırılabilir değildir.
Ortalamanın gizlediği kuyruk
Ortalama, güvenlik operasyonlarında neredeyse her zaman yanlış özet istatistiktir; çünkü olay dağılımı simetrik değildir. Yüzlerce rutin alarm dakikalar içinde kapanır, birkaç ciddi vaka haftalara yayılır. Ortalama bu birkaç vakayı görünmez kılar, oysa kurumu zarara uğratan tam olarak onlardır.
Daha anlamlı okuma şudur: medyan süre, doksanıncı ve doksan beşinci yüzdelik dilimler, bir de kritik önem derecesindeki vakaların ayrı dağılımı. Doksan beşinci yüzdelik dilimin sekiz güne çıkması, ortalamanın on dakikada kalmasından çok daha fazla bilgi taşır. Yönetim raporlarında tek sayı isteniyorsa, ortalama yerine kritik vakaların medyanı tercih edilmelidir.
Metriği sessizce bozan uygulamalar
Sayı iyileşiyor gibi görünürken savunmanın hiç gelişmediği durumlar, çoğunlukla ölçüm pratiğinden kaynaklanır.
- Alarm eşiklerini yükseltip gürültüyü azaltmak: daha az alarm, daha iyi ortalama, daha çok kaçan olay
- Kapanmayan vakaları istatistik dışı bırakmak; en uzun süreli olaylar böylece hiç sayılmaz
- Vakayı çözmeden “izleniyor” durumuna alıp sayacı durdurmak
- Aynı saldırı zincirinin her adımını ayrı vaka açıp ortalamayı bölmek
- Otomatik karantinaya alınan düşük riskli olayları da havuza katmak
- Farklı ekiplerin farklı t0 tanımıyla ürettiği verileri tek tabloda toplamak
Bu maddelerin ortak yanı kötü niyet değil, ölçüm tanımının belgelenmemiş olmasıdır.
Metriğin yanına konması gereken göstergeler
| Gösterge | Neyi açıklar | Sağlıklı işaret |
|---|---|---|
| Log kaynağı kapsaması | Görünürlük boşluğu var mı | Kritik varlıkların tamamı besleniyor |
| Alarmdan triyaja geçen süre | Ekip kapasitesi yeterli mi | Kritik alarmlarda kuyruk oluşmuyor |
| Yanlış pozitif oranı | Kurallar güvenilir mi | Analist alarmı ciddiye alıyor |
| Tespit edilen taktik çeşitliliği | Zincirin kaç halkası görülüyor | Tek noktaya bağımlılık yok |
| Yineleyen olay oranı | Kök neden kapatıldı mı | Aynı vaka tekrar açılmıyor |
| Kapanan vakanın doğrulanma oranı | Çözüm gerçek mi | Kapanış bağımsız kontrolle onaylanıyor |
Tablodaki göstergeler MTTD ve MTTR ile birlikte okunduğunda, kısalan sürenin gerçek bir kabiliyet artışından mı yoksa ölçüm daralmasından mı geldiği ayırt edilebilir hale gelir.
İddia edilen süre sahada doğrulanır mı
Metriğin en güvenilir sınaması, kurumun kendi verisiyle değil, kontrollü bir saldırı simülasyonuyla yapılır. Önceden belirlenmiş tekniklerin çalıştırıldığı saat ile savunma ekibinin alarm ürettiği saat karşılaştırıldığında, raporlanan ortalama ile gerçek arasındaki fark açıkça görülür.
Bu nedenle bir red team hizmetinin en somut çıktılarından biri, saldırı zincirinin her adımı için ayrı ayrı tutulmuş zaman damgası tablosudur. Oltalama e-postası açıldıktan kaç dakika sonra ilk uyarı düştü, yanal hareket başladıktan kaç saat sonra fark edildi, kritik sisteme erişildikten sonra müdahale ne zaman başladı. Bu tablo, aylık raporlarda görünen sayıyı ya doğrular ya da hangi varsayımın hatalı olduğunu gösterir.
Ölçümü baştan kurmanın adımları
- Vaka yaşam döngüsündeki tüm anları yazılı olarak tanımlayın: ilk iz, alarm, triyaj başlangıcı, kabul, kontrol altına alma, çözüm, kapanış doğrulaması.
- Her an için verinin hangi sistemden, hangi alandan geleceğini belirleyin; elle girilen zaman damgalarını en aza indirin.
- Vakaları önem derecesine göre ayrı havuzlara bölün; kritik ve düşük öncelikli olayları asla aynı ortalamada birleştirmeyin.
- Ortalama yerine medyan ve yüzdelik dilimleri varsayılan raporlama biçimi yapın.
- Ölçüm tanımını değiştirdiğinizde raporda not düşün; aksi halde eğilim grafiği anlamını kaybeder.
- Üç ayda bir, en az bir vakayı bağımsız olarak yeniden inceleyip zaman damgalarının doğruluğunu denetleyin.
Yönetim kuruluna nasıl anlatılır
Kurul, dakikayla değil sonuçla ilgilenir. Etkili anlatım üç cümleye sığar: en kritik senaryoda saldırganın kritik varlığa ulaşması ne kadar sürdü, biz onu hangi aşamada gördük, aradaki fark hangi yatırımla kapanır. ISO 27001 kapsamında yürütülen bir yönetim gözden geçirme toplantısında da bu üçlü, ham metrik listesinden çok daha verimli tartışma üretir.
Kurula sunulan grafiklerde eğilim çizgisinin altına, o dönemde kapsamın değişip değişmediğini belirten kısa bir not koymak da yararlıdır. Yeni bir log kaynağı eklendiğinde ya da yeni bir birim izlemeye alındığında sayılar sıçrar; notu olmayan grafik yanlış yorumlanır.
Sayıyı sunarken hedefi de birlikte verin: mevcut durum, hedeflenen seviye ve hedefe ulaşmak için gereken üç somut adım. Hedefsiz sunulan bir metrik, kurulda ya kayıtsızlık ya da yersiz rahatlık yaratır.
Sık sorulan sorular
MTTD ve MTTR için sektör ortalaması var mı?
Yayımlanan ortalamalar farklı tanımlarla üretildiği için kurumlar arası karşılaştırma çoğu zaman yanıltıcıdır. Anlamlı kıyas, kurumun kendi geçmiş dönemleriyle ve aynı t0 tanımıyla yapılan karşılaştırmadır.
Otomasyon süreleri kısaltır mı?
Kısaltır, ancak yalnızca doğru kurgulandığında. Otomatik izolasyon ve zenginleştirme triyaj gecikmesini gerçekten düşürür; buna karşılık otomatik kapanan alarmların havuza dahil edilmesi, iyileşmeyi olduğundan büyük gösterir.
Küçük ekipler bu metrikleri takip edebilir mi?
Evet, hatta daha çok ihtiyaç duyarlar. Az sayıda vakada ortalama anlamsızlaşacağı için, her kritik vakanın zaman çizelgesini tek tek belgelemek yeterli ve daha öğreticidir.
Dış kaynaklı izleme hizmetinde metriğe kim sahip olur?
Ölçüm tanımı ve raporlama sıklığı sözleşmede yazılmalıdır. Sağlayıcının kendi kapsamındaki süre ile kurum içi karar ve onay süreleri ayrı ayrı gösterilmezse, gecikmenin hangi tarafta oluştuğu tartışmalı kalır.
Metrik kötüleşirse bu başarısızlık mıdır?
Her zaman değil. Görünürlük genişletildiğinde daha önce hiç sayılmayan olaylar istatistiğe girer ve süreler uzar. Bu, ölçümün dürüstleşmesidir; raporda gerekçesiyle birlikte açıklanmalıdır.
Sonuç
MTTD ve MTTR, doğru tanımlandıklarında güçlü, tanımsız bırakıldıklarında ise savunmanın gerçek durumunu gizleyen sayılardır. Tek başına bir ortalama, hangi saldırı adımının hiç görülmediğini, alarmın kuyrukta ne kadar beklediğini veya vakanın gerçekten çözülüp çözülmediğini anlatamaz. Bu iki metriği kapsama, çeşitlilik ve doğrulama göstergeleriyle birlikte raporlayın; asıl sınavı ise kontrollü bir saldırı simülasyonunun zaman damgalarına bırakın.
Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.
