Mean Time to Breach (MTTB)

Mean Time to Breach (MTTB) bezeichnet die durchschnittliche Zeit, die Angreifende unter festgelegten Bedingungen benötigen, um ein definiertes Sicherheitsziel zu überwinden oder ein System zu kompromittieren. Der Kennwert wird auch in verwandten Formen als Mean Time to Compromise (MTTC) beziehungsweise Time to Compromise verwendet.

Was wird gemessen?

Für eine aussagekräftige Messung müssen Start- und Endpunkt eindeutig festgelegt sein. Der Zeitraum kann beispielsweise mit dem Beginn eines autorisierten Angriffstests starten und mit dem Erlangen eines bestimmten Zugriffsrechts, dem Zugriff auf geschützte Daten oder der Kompromittierung eines festgelegten Zielsystems enden. Aus mehreren vergleichbaren Durchläufen wird anschließend ein Mittelwert gebildet.

Auch Angreifermodell, Ausgangszugriff, verfügbare Kenntnisse, Werkzeuge, Testdauer und Sicherheitsziel gehören zur Definition. Ohne diese Rahmenbedingungen lassen sich MTTB-Werte verschiedener Systeme oder Tests kaum sinnvoll miteinander vergleichen.

Einsatzmöglichkeiten

MTTB kann bei Penetrationstests, Red-Team-Übungen, Angriffssimulationen und modellbasierten Analysen von Angriffspfaden eingesetzt werden. Die Kennzahl hilft dabei, die Widerstandsfähigkeit einer Umgebung unter wiederholbaren Bedingungen zu beobachten und Veränderungen nach technischen oder organisatorischen Schutzmaßnahmen zu bewerten.

Ein höherer Wert deutet unter gleichen Testbedingungen darauf hin, dass Angreifende mehr Zeit bis zum definierten Angriffsziel benötigen. Er beweist jedoch nicht, dass ein System sicher ist, und gibt für sich genommen weder die Wahrscheinlichkeit eines realen Angriffs noch dessen mögliche Auswirkungen an.

Abgrenzung zu anderen Zeitkennzahlen

MTTB betrachtet die Zeit auf der Angriffsseite bis zum festgelegten Durchbruch. Die Mean Time to Detect (MTTD) misst dagegen, wie schnell ein Angriff oder Sicherheitsvorfall erkannt wird. Weitere Kennzahlen betrachten etwa die Zeit bis zur Eindämmung oder Wiederherstellung. MTTB ist außerdem nicht mit MTTP zu verwechseln: MTTP steht im Sicherheitskontext üblicherweise für Mean Time to Patch.

MTTB verbessern

Die Zeit bis zu einer Kompromittierung lässt sich unter anderem durch eine kleinere Angriffsfläche, konsequentes Patch- und Schwachstellenmanagement, sichere Konfigurationen, Mehrfaktor-Authentisierung, minimale Berechtigungen und Netzwerksegmentierung erhöhen. Relevant sind dabei insbesondere erkannte Sicherheitslücken, deren technische Bewertung beispielsweise das Common Vulnerability Scoring System (CVSS) unterstützt, sowie Angriffsmöglichkeiten wie Remote Code Execution (RCE).

Erkennungs- und Reaktionsmaßnahmen können einen laufenden Angriff zusätzlich stoppen, bevor das definierte Ziel erreicht wird. Solche abgebrochenen oder innerhalb der Testdauer erfolglosen Versuche müssen bei der Auswertung transparent berücksichtigt werden; andernfalls kann ein einfacher Mittelwert ein irreführendes Bild ergeben.

Weiterführende Quellen

Wissenschaftliche Modelle verwenden vor allem den verwandten Begriff Mean Time to Compromise. Beispiele sind die bei NIST veröffentlichte Untersuchung zu Netzwerksicherheitsmetriken und der Forschungsbeitrag A Unified Framework for Measuring a Network’s Mean Time-to-Compromise.

Cyber-Security-Glossar