這個類型的題目我錯了四次。
其中三次選的都~是同一個，Remediate。

那題想問的大概是：想更早「看見」攻擊者，在他橫向移動之前擋住他，該把哪一段時間壓短?
答案是 MTTD。

先把這幾個 MTT 拆開

MTT 開頭的這一家子，都是 Mean Time To 甚麼甚麼，也就是「平均要花多少時間才做到某件事」。
平均的意思是，它不是看單一一次事件，是把一段期間內所有事件的時間拿來平均，所以它看的是一個團隊、一套流程整體跑得怎麼樣。

把一個事件從發生到結束攤成一條時間軸，大概長這樣：

事件發生 → 發現(detect) → 開始處理(respond) → 擋住擴散(contain) → 修掉成因(remediate) →
服務回來(restore)

• MTTD（Mean Time To Detect）：事件發生到被發現，中間隔多久。
• MTTR（Mean Time To Respond）：發現之後，多久開始動作。
• MTTC（Mean Time To Contain）：多久把它圍住，不讓它繼續擴散。
• MTTR（Mean Time To Remediate）：多久把造成事件的成因修掉。
• 最後才是服務恢復，回到大家可以正常用的狀態。

有沒有發現有兩個 MTTR?
這個 R 很麻煩滴，可以是 Respond、Remediate，也有人展開成 Recover 或 Repair，要看上下文在講哪一段。
我後來是這樣處理的：不先背縮寫，先看題目講的那個動作落在時間軸的哪一格，再回頭對名字。

為什麼修得快，擋不住橫移

直接捏一個例子來算，比較有感，以下情境是我自己編的。

週一凌晨兩點，一台檔案伺服器被放了後門。
週三早上九點，SIEM 跳了告警，這時候才有人發現。
九點半開始處理，十一點把它隔離。
週四把後門清掉，整台 reimage。
週五服務恢復上線。

那攻擊者要橫向移動，是在哪一段做的?
就是週一到週三那 55 個小時，沒有人知道他在裡面的那段。

這時候就算把 remediate 從一天壓到一小時，那 55 小時一分鐘都沒少，他該去的地方早就去完了。
remediate 修的是成因，它是在「已經發現」之後才開始的，修得再快，也擋不住已經在裡面走來走去的人。
想擋橫移，得讓週三早上那個告警早一點跳出來，也就是把 MTTD 壓短。

那 MTTD 要怎麼壓?
我的理解是靠「看得到」：log 有沒有集中收、SIEM 的規則寫得好不好、告警跳出來的時候有沒有人在看。
Day11 講 SIEM 的時候有提到，它負責的就是把東西收起來、關聯起來，這一格的時間主要就是它在決定的。

同一條時間軸，我還往反方向錯過

除了開頭那題，同一條時間軸上我還錯過兩題。

一題問多久能阻止惡意程式繼續擴散，我選了 remediate，正解是 MTTC。
擴散是圍堵那一格要處理的事，修根因是後面那一格。

另一題問處理掉造成這起事件的那些 findings，我選了 detect，正解是 remediate。
這次是反過來，把一個「動手修」的動作，放到還沒發現的那一格去了。

三題放在一起看，題目裡的名詞都差不多，差的是那個動作在時間軸上的位置。

KPI 要量對東西

對，資安也有KPI。
有一題是要衡量「事件報告與溝通」這一塊做得好不好，該拿哪個 KPI。

KPI（Key Performance Indicator）是關鍵績效指標，就是用來呈現某件事做得好不好的那個數字。

我選了 MTTD，正解是被處理完的事件數（remediated incidents）。

回頭想，報告跟溝通做得好，事情會被送到對的人手上、有人跟催、最後被處理掉，它的成果會反映在「處理完了幾件」。
MTTD 量的是偵測，那是監控跟 SIEM 那一塊的成績，跟報告有沒有寫好、有沒有通知到人，沒有直接關係。
拿 MTTD 去評一個溝通流程，數字再漂亮，也不是它的功勞。

所以挑指標的時候，我會先想：這個流程做得好，會直接改變的是哪一個數字?