1. Mean Time to Detect (MTTD)

Mô tả: Thời gian trung bình để hệ thống phát hiện và tạo Alert kể từ thời điểm sự kiện hoặc hành vi bất thường xảy ra. Chỉ số này phản ánh khả năng phát hiện sớm mối đe doạ của hệ thống.

Công thức:

$MTTD = \frac{\sum (\text{Alert}_{created} - \text{Event}_{occurred})}{\text{Total alerts}}$

Trong đó:

• ∑(Alert created −Event occurred): Tổng thời gian từ khi sự kiện xảy ra đến khi hệ thống tạo Alert.
• Total Alerts: Tổng số Alert được sinh ra trên hệ thống.

2. Mean Time to Acknowledge (MTTA)

Mô tả: Thời gian trung bình để Analyst tiếp nhận và bắt đầu xử lý một Alert kể từ khi Alert được tạo trong hệ thống.

Công thức:

$MTTA = \frac{\sum (\text{Alert}_{inprogress} - \text{Alert}_{new})}{\text{Total alerts (in progress + closed)}}$

Trong đó:

• ∑(Alert in progress − Alert new)= Tổng thời gian từ khi Alert ở trạng thái New đến khi được chuyển sang In Progress.
• Total alerts (in progress + closed)= Tổng số Alert đang ở trạng thái In Progress và Closed.

3. Mean Time to Resolve (MTTR)

Mô tả: Thời gian trung bình để Analyst xử lý và đóng một Case kể từ khi Case được tạo trong hệ thống. Chỉ số này phản ánh hiệu quả xử lý sự cố và tốc độ khắc phục của SOC.

Công thức:

$MTTR = \frac{\sum (\text{Case}_{closed} - \text{Case}_{new})}{\text{Total closed cases}}$

Trong đó:

• ∑(Case closed − Case new): Tổng thời gian từ khi Case được tạo đến khi được đóng.
• Total closed cases: Tổng số Case đã được đóng trong khoảng thời gian tính toán.

4. False Positive Rate (FPR)

Mô tả: Tỷ lệ Alert được xác định là False Positive trên tổng số Alert đã được phân loại và xử lý bởi Analyst. Chỉ số này phản ánh mức độ chính xác của hệ thống Detection Rule và khả năng giảm thiểu các cảnh báo không hợp lệ.

Công thức:

$FPR\% = \frac{\sum \text{Alerts marked as False Positive}}{\sum \text{Alerts marked as (False Positive + Benign + True Positive)}} \times 100$

Chi tiết:

• ∑Alerts marked as False Positive: Tổng số Alert được Analyst xác nhận là cảnh báo giả.
• ∑Alerts marked as (False Positive + Benign + True Positive): Tổng số Alert đã được phân loại kết quả xử lý.

5. Case Closure Rate (CCR)

Mô tả: Tỷ lệ Case đã được đóng trên tổng số Case trong hệ thống. Chỉ số này phản ánh hiệu suất xử lý Incident của SOC và khả năng giải quyết backlog Case.

Công thức:

$CCR\% = \frac{\sum \text{Closed cases}}{\sum \text{Total cases (New + In progress + Closed)}} \times 100$

Chi tiết:

• ∑Closed Cases: Tổng số Case đã được đóng.
• ∑Total Cases (New + In Progress + Closed): Tổng số Case trong hệ thống.