MTTD und MTTR: Warum zwei Anbieter mit derselben Zahl Verschiedenes verkaufen

Zwei Angebote liegen auf dem Tisch. Beide nennen eine Reaktionszeit von unter 30 Minuten. Das eine kostet die Hälfte. Die Versuchung, daraus eine Entscheidung zu machen, ist groß – und der Fehler wäre es auch. Denn die beiden Zahlen messen mit hoher Wahrscheinlichkeit nicht dasselbe. G DATA formuliert es in seinem Einkaufsleitfaden selbst so: Kennzahlen wie MTTD oder MTTR seien hilfreich, könnten aber je nach Anbieter etwas ganz anderes bedeuten – etwa eine automatisierte Reaktion oder eine durch Analysten.

Dieser Beitrag zerlegt die beiden Kennzahlen in die Entscheidungen, die in ihnen stecken. Wer sie kennt, kann zwei Angebote vergleichen. Wer sie nicht kennt, vergleicht Zahlen, die zufällig gleich aussehen.

Was die Abkürzungen meinen

Mean Time to Detect – MTTD – ist die durchschnittliche Zeit von einem Ereignis bis zu seiner Erkennung. Mean Time to Respond – MTTR – ist die durchschnittliche Zeit von der Erkennung bis zur Reaktion. Beide klingen eindeutig. Beide haben vier Stellschrauben, an denen ein Anbieter drehen kann, ohne zu lügen.

Stellschraube eins: Wann startet die Uhr?

Beim MTTD kann die Uhr beim Ereignis starten – dem Moment, in dem der Angreifer etwas tut – oder beim ersten Alarm, den das System erzeugt. Zwischen beiden können Stunden liegen, wenn der Angreifer unauffällig vorgeht. Ein Anbieter, der ab Alarm misst, hat eine kleinere Zahl und eine weniger aussagekräftige. Beim MTTR kann die Uhr beim Alarm starten oder bei der Bestätigung durch einen Analysten. Wer ab Bestätigung misst, lässt die Zeit weg, in der der Alarm in einer Warteschlange lag.

Stellschraube zwei: Was zählt als Reaktion?

Das ist die größte. Eine automatische Reaktion – ein Skript beendet den Prozess, der den Alarm ausgelöst hat – dauert Sekunden. Eine Reaktion durch einen Menschen, der den Kontext prüft, Fehlalarm von Angriff trennt und dann isoliert, dauert Minuten. Beide heißen Reaktion. Nur eine davon hat beurteilt, ob das, was beendet wurde, die nächtliche Sicherung war.

G DATA nennt für MXDR auf seiner Website drei Zeiten: Erkennung in unter einer Minute, Analyse in unter drei, Reaktion in unter 30 Minuten. Die mittlere ist die aufschlussreiche – sie benennt den Schritt, den automatisierte Dienste nicht haben. Ein Anbieter, der nur Erkennung und Reaktion nennt, sollte gefragt werden, was dazwischen passiert.

Stellschraube drei: Mittelwert oder Obergrenze?

Das M in beiden Abkürzungen steht für Mean, Mittelwert. Ein Mittelwert von 12 Minuten kann aus tausend Fällen mit 10 Minuten und zehn Fällen mit drei Stunden bestehen. Die zehn Fälle sind die, die Sie interessieren – es sind die Nächte, in denen etwas schiefging. Fragen Sie nach dem 95. Perzentil oder nach einer zugesicherten Obergrenze. „Unter 30 Minuten“ als Zusage ist etwas anderes als „im Mittel 12 Minuten“ als Statistik; das eine bindet, das andere beschreibt.

Stellschraube vier: Welche Vorfälle gehen in die Statistik ein?

Wenn ein Dienst nur die als kritisch eingestuften Alarme von Analysten bearbeiten lässt, bezieht sich seine MTTR auf diese Alarme. Die übrigen – die in der Konsole liegen, bis jemand sie liest – haben keine Reaktionszeit, weil keine Reaktion stattfindet. Die Zahl ist dann korrekt und beschreibt einen Teil der Nacht. Fragen Sie, welcher Anteil der Alarme in die Kennzahl eingeht und was mit dem Rest geschieht.

Was die Zahlen für Ihre Nacht bedeuten

Ein Beispiel macht die Stellschrauben greifbar. Um 2:40 Uhr beginnt auf einem Dateiserver eine Rechteausweitung. Anbieter A misst ab Alarm, zählt eine automatische Prozessbeendigung als Reaktion und nennt im Mittel zwei Minuten. Anbieter B misst ab Ereignis, zählt erst die Entscheidung eines Analysten nach Prüfung des Kontexts und sichert unter dreißig Minuten als Obergrenze zu. Auf dem Papier ist A fünfzehnmal schneller.

In der Nacht sieht es anders aus. Bei A wird um 2:41 Uhr der Prozess beendet, der den Alarm auslöste – und der Angreifer, der mit gültigem Konto arbeitet, startet um 2:44 Uhr den nächsten. Ob jemand die Kette erkennt, hängt davon ab, wann der nächste Mensch die Konsole liest. Bei B sieht um 2:41 Uhr ein Analyst beide Ereignisse, erkennt die Anmeldung vom verwaisten Arbeitsplatz, isoliert Server und Arbeitsplatz, sperrt das Konto und ruft um 2:50 Uhr an. Die Zahl von A war korrekt. Sie hat nur nicht beschrieben, was Sie gekauft haben.

Die vier Fragen, die zwei Angebote vergleichbar machen

Mit den Antworten lassen sich die beiden Angebote übereinanderlegen. Oft stellt sich heraus, dass das günstigere eine automatische Reaktion ab Alarm im Mittel misst und das teurere eine menschliche Reaktion ab Ereignis als Obergrenze zusichert. Beides kann die richtige Wahl sein. Nur die Zahl allein sagt nicht, welche.

Verwandte Themen: Wer hier weiterdenkt, liest bei Angriffserkennung und Überwachung rund um die Uhr weiter.