DefiniçãoMTTD (Mean Time to Detect) é o tempo médio entre o início de uma atividade maliciosa e sua detecção. MTTR (Mean Time to Respond) é o tempo médio entre a detecção e a contenção ou resolução. Juntos, medem quanto tempo o atacante age no ambiente.
Como funcionam
As duas métricas dividem a linha do tempo de um incidente em etapas:
- MTTD: do primeiro sinal da atividade maliciosa até o momento em que ela é identificada como incidente. Reflete a qualidade da telemetria, das regras de detecção e do monitoramento 24×7.
- MTTR: da detecção até a contenção ou a resolução. Reflete processos, playbooks, automação e autonomia para agir.
Somados, indicam a janela de exposição: o tempo que o adversário teve para se mover, escalar privilégios e extrair dados.
Cuidados ao medir
O "R" de MTTR muda de significado conforme a fonte: respond, recover, remediate ou resolve. Antes de comparar números de fornecedores ou de períodos diferentes, confirme onde começa e onde termina cada contagem. O mesmo vale para o MTTD: o início real do ataque muitas vezes só é conhecido depois da investigação.
Médias também escondem extremos. Um incidente grave que levou semanas para ser detectado pode sumir no meio de centenas de alertas resolvidos em minutos. Vale acompanhar a mediana e os piores casos, separados por severidade.
MTTD e MTTR vs RTO e RPO
MTTD e MTTR medem o desempenho real da operação de segurança diante de incidentes. RTO e RPO são metas de continuidade de negócio: quanto tempo um sistema pode ficar parado e quanto dado é aceitável perder. Um MTTR baixo ajuda a cumprir o RTO, mas as métricas respondem a perguntas diferentes.
A Network Secure opera um SOC 24×7 certificado ISO/IEC 27001:2022.
Perguntas frequentes
O que significa o R em MTTR?
Depende do contexto. Em operações de segurança, costuma ser Mean Time to Respond, mas também aparece como recover, remediate ou resolve. O importante é o contrato ou relatório definir onde a contagem começa e termina.
Qual a diferença entre MTTR e RTO?
MTTR mede o tempo médio que a equipe levou para responder a incidentes reais. RTO é a meta, definida pelo negócio, de quanto tempo um sistema pode ficar indisponível.