MTTD (среднее время обнаружения).

MTTD показывает, как быстро служба безопасности замечает вредоносную активность — обычно от первоначальной компрометации до первого подтверждённого оповещения в SIEM, SOAR или системе тикетов. Это один из ключевых KPI эффективности SOC, тесно связанный с покрытием телеметрии, инженерией обнаружения и процессами триажа аналитиков. Снижение MTTD сокращает время присутствия атакующего, уменьшает радиус поражения и повышает успешность сдерживания. Бенчмарки сильно различаются по отраслям и зрелости; зрелые команды отслеживают MTTD по техникам MITRE ATT&CK, а не единым значением.