Threat metrics — tashkilotga qaratilgan tahdidlar va ularga qarshi himoyaning holatini o‘lchash uchun ishlatiladigan ko‘rsatkichlardir. Ular vulnerability sonini sanash bilan cheklanmaydi: adversary faoliyati, exposure, detection qobiliyati, response tezligi va qolgan riskni qaror qabul qilinadigan shaklga keltiradi. Yaxshi metrika aniq savolga javob beradi va jamoani noto‘g‘ri rag‘batlantirmaydi.
Tahdid va zaiflikni ajratish
Zaiflik tizimdagi nuqson, tahdid esa undan foydalanishi mumkin bo‘lgan actor, imkoniyat va niyat bilan bog‘liq. Minglab low-severity topilma mavjud bo‘lishi mumkin, ammo internetga ochiq, faol exploit qilinayotgan bitta yo‘l ustuvorroq. Threat metric asset qiymati, attack surface va threat intelligence’ni birlashtiradi.
Masalan, “critical CVE soni” inventory sifati va scanner coverage’siz chalg‘itadi. “Internetga ochiq hamda exploit mavjud critical assetlar soni” amaliyroq, lekin asset classification va reachability to‘g‘ri bo‘lishini talab qiladi. Har metric data source va cheklov bilan hujjatlashtiriladi.
Operatsion ko‘rsatkichlar
Mean time to detect hodisa boshlanganidan aniqlanguncha, mean time to respond esa containment yoki recoverygacha vaqtni o‘lchaydi. Average katta incident va ko‘p kichik incidentni yashirishi mumkin; median va percentile qo‘shiladi. Dwell time hujumchi muhitda aniqlanmasdan qolgan davrni baholaydi.
Detection coverage MITRE ATT&CK technique’lari yoki tashkilotning eng muhim attack pathlari bo‘yicha o‘lchanishi mumkin. Faqat qoida mavjudligi coverage emas; telemetry kelishi, alert ishlashi va analyst uni to‘g‘ri talqin qilishi purple-team test bilan tasdiqlanadi. False positive rate juda yuqori bo‘lsa muhim signal navbatda yo‘qoladi.
Riskka bog‘langan natijalar
Patch SLA bajarilishi foydali jarayon metrikasi, ammo risk haqiqatan kamayganini ko‘rsatish uchun exposed window va compensating control ham hisoblanadi. Phishing treningida click rate yakka holda xodimni ayblashi mumkin; report rate, credential protection va email control samarasi kengroq manzara beradi.
Executive darajada metric texnik hodisani biznes xizmat, downtime, ma’lumot ta’siri va recovery xarajatiga bog‘laydi. Trend bir xil metodologiya bilan vaqt davomida kuzatiladi. Risk score formulasi tez-tez o‘zgarsa tarixiy taqqoslash qayta hisoblanadi yoki uzilish belgilab qo‘yiladi.
Metrika sifati
Goodhart qonuniga ko‘ra ko‘rsatkich maqsadga aylansa, uning axborot qiymati pasayishi mumkin. Jamoa ticketni tez yopish uchun riskni noto‘g‘ri downgrade qilmasligi kerak. Leading indicator — exposed secret yoki nazoratsiz admin yo‘li — kelajak xavfini, lagging indicator esa sodir bo‘lgan incidentni ko‘rsatadi; ikkalasi birga ishlatiladi.
Dashboard denominator, scope va data freshnessni ko‘rsatadi. Yo‘q telemetry “nol tahdid” deb talqin qilinmaydi. Metric owner va review davri belgilanib, foydalanilmaydigan vanity metric olib tashlanadi. Shu tarzda threat metrics hisobot bezagi emas, investment va remediation ustuvorligini tekshiradigan boshqaruv vositasiga aylanadi.
Ma’lumot boshqaruvi
Threat dashboard bir nechta security vositasidan kelgan obyektlarni yagona asset ID bilan bog‘laydi. Host nomi yoki IP tez o‘zgargani uchun cloud resource ID, account va deployment metadata kerak. Duplicate alertlar incident darajasida birlashtiriladi, aks holda sensorlar ko‘payishi tahdid oshgandek ko‘rinadi. Detection yopilganida sabab — true positive, benign behavior, duplicate yoki telemetry xatosi — strukturalangan holda saqlanadi. Access control dashboarddagi zaiflik va incident tafsilotini faqat tegishli rollarga beradi. Retention trend uchun yetarli, lekin shaxsiy hamda maxfiy ma’lumot siyosatiga mos bo‘ladi; agregat hisobotdan raw payloadga nazoratsiz drill-down qilinmaydi.
Bog‘liq tushunchalar
Threat intelligence, Risk metric, MTTD, MTTR, Attack surface, Detection coverage, MITRE ATT&CK