サイバー攻撃と防御の実務
ある組織で起きた4件のインシデントについて、発生から検知までの時間と、検知から封じ込めまでの時間は、件1が10時間と4時間、件2が30時間と2時間、件3が2時間と6時間、件4が6時間と4時間だった。発生から検知までの平均時間(MTTD)と、検知から封じ込めまでの平均時間(MTTC)の組み合わせとして、正しいものはどれか。
- AMTTDは4時間、MTTCは12時間
- BMTTDは8時間、MTTCは4時間
- CMTTDは12時間、MTTCは4時間
答えと解説を見る
正解：C. MTTDは12時間、MTTCは4時間
MTTDは発生から検知までの時間の平均なので、(10 + 30 + 2 + 6) ÷ 4 = 48 ÷ 4 = 12時間です。MTTCは検知から封じ込めまでの時間の平均で、(4 + 2 + 6 + 4) ÷ 4 = 16 ÷ 4 = 4時間です。この例では件2の検知の遅れが平均を大きく引き上げていて、検知までの時間の中央値(8時間)との差は、検知に時間のかかった事例が少数あることを示しています。検知までの時間が長いほど攻撃者が内部で活動できる時間が長くなるので、ログの監視やEDRでMTTDを短くすることが、被害を小さくするうえで重要です。
- A. MTTDとMTTCを取り違えた組み合わせです。
- B. 検知までの時間の中央値((6 + 10) ÷ 2 = 8時間)で、平均ではありません。
- C. 正しい。48 ÷ 4 = 12時間と、16 ÷ 4 = 4時間です。