Тактики, техники и процедуры (TTP)
Простыми словами
Тактика отвечает, зачем выполняется действие, техника — как достигается цель, а процедура — как конкретный противник реализовал технику в определённой среде.
Как применяется
TTP используют в Threat Intelligence, моделировании угроз, detection engineering и threat hunting, связывая сведения о противнике с наблюдаемым поведением и телеметрией.
Пример применения
Из отчёта известно, что группа закрепляется через scheduled task и использует определённые команды. Команда проверяет покрытие техники и ищет процедуру в своей телеметрии.
Не путать с
- IOCIOC указывает на конкретный наблюдаемый объект, например хеш или домен
Как это работает
- НаблюдениеИз расследования или отчёта извлекают действия и контекст противника.
- КлассификацияДействия связывают с тактиками и техниками, например ATT&CK.
- ПроцедураФиксируют конкретные команды, инструменты, последовательность и условия.
- ПрименениеПо TTP строят проверки покрытия, правила и гипотезы поиска.
Продолжить изучение
Частые вопросы
Тактики и техники универсальны, а процедуры чаще отражают конкретную реализацию группы или кампании.
Почему TTP устойчивее IOC?Противнику проще сменить домен или хеш, чем полностью изменить рабочие методы и компетенции.
Как использовать TTP в SOC?Сопоставить с источниками данных, тестами и правилами, а пробелы превратить в план улучшения покрытия.