Il mean time to detect (MTTD) è il tempo medio tra l'inizio di un incidente e il momento in cui i difensori lo scoprono. Misura per quanto tempo un attaccante può rimanere inosservato, sia che il primo indizio sia un accesso sospetto, un traffico di rete insolito, la telemetria di malware o la segnalazione di un utente.
Il MTTD è importante perché ogni ora aggiuntiva di attività non rilevata offre a un attaccante più tempo per rubare dati, spostarsi lateralmente o disabilitare i sistemi. Un MTTD basso di solito indica una migliore visibilità da log, endpoint e servizi cloud, oltre a solidi processi di alerting e threat hunting. Un MTTD alto può indicare punti ciechi, monitoraggio debole o alert troppo rumorosi per essere indagati rapidamente. Nelle difese reali, i team cercano di ridurre l'MTTD con baseline, regole di correlazione, rilevamento delle anomalie e analisti preparati in grado di trasformare segnali grezzi in un incidente confermato.