4、网络安全事件响应新指标：盲点指标解析

网络安全事件响应新指标：盲点指标解析

在网络安全领域，准确衡量组织应对安全事件的准备程度至关重要。本文将介绍一种新的风险指标——盲点指标，以及它的三种变体，并阐述如何利用VERIS数据集来实现这些指标的计算。

1. 关键信息提取

在处理网络安全事件时，通常会涉及到两个关键部分：
- 发现与响应 ：包含事件的时间线、发现方法、根本原因、纠正措施等信息。
- 影响评估 ：包含损失分类和估计、影响评级等信息。

本文重点关注的是遏制时间（time to containment），它与MTIR指标性质最为接近，在VERIS社区数据集（VCDB）中，这一元数据表现为timeline.containment。其时间线单位的有效取值包括秒、分钟、小时、天、周、月、年和“从未”，而“NA”和“未知”被认为是无用的。

VERIS数据集的重要性在于它是基于社区的，数据来自广泛的行业和不同类型、规模的组织，因此比单一组织生成的数据集更具趣味性和广泛适用性。

2. 盲点指标概念

我们引入了一个新的概念——盲点（Blind Spot，BS），它是指新安全事件发生时刻与前一个安全事件恢复的最后时刻之间的时间间隔。在最坏的情况下，盲点表示组织在仍在恢复早期事件时就不得不开始处理新事件的时间段。这一指标可以衡量组织应对新事件的准备程度，以及在资源不足时应对安全事件的脆弱性。

为了简化模型，我们不考虑两个事件同时发生的情况。在基于VERIS的实现部分，我们用MTBSI指标代替事件到达时间的差异，并假设MTBSI > 0。