MTTD(平均检测时间).

MTTD 衡量安全团队识别恶意活动的速度,通常以从初始入侵到 SIEM、SOAR 或工单系统中产生首条经过验证的告警为止的时间来计算。它是衡量 SOC 运营效率的核心指标之一,与遥测覆盖率、检测工程能力以及分析师的分诊流程密切相关。MTTD 越低,攻击者的驻留时间越短,影响范围越小,遏制效果也越好。该指标在不同行业和成熟度间差异较大,成熟团队通常根据 MITRE ATT&CK 的攻击技术分别跟踪 MTTD,而不是仅看单一总值。