Taktyki, techniki i procedury (, TTP) – sposób opisu zachowań napastników w bezpieczeństwie teleinformatycznym, porządkujący ich działania na trzech poziomach szczegółowości: celu, który napastnik chce osiągnąć (taktyka), sposobu jego osiągnięcia (technika) oraz konkretnego przebiegu działania w danym przypadku (procedura).
Pojęcie wywodzi się z terminologii wojskowej i zostało przeniesione do opisu zagrożeń komputerowych. W przeciwieństwie do pojedynczych wskaźników naruszenia bezpieczeństwa – takich jak adresy IP, nazwy domen czy sumy kontrolne plików, które napastnik może zmienić natychmiast – TTP opisują wzorce postępowania, trudniejsze do zmiany, ponieważ wymagałaby ona przebudowy sposobu działania.
Trzy poziomy opisu Taktyka odpowiada na pytanie, po co napastnik wykonuje daną czynność – jest to cel pośredni na drodze do przejęcia kontroli nad systemem, na przykład uzyskanie dostępu początkowego, utrzymanie się w systemie czy wyprowadzenie danych.
Technika określa, w jaki sposób napastnik osiąga ten cel. Przykładowo celowi „dostęp do poświadczeń” może służyć technika polegająca na zrzuceniu zawartości pamięci procesu przechowującego hasła.
Procedura to konkretna realizacja techniki przez określonego napastnika – użyte narzędzia, kolejność poleceń i parametry. Ta sama technika bywa wykonywana przez różne grupy na różne sposoby.
Klasyfikacja w katalogu ATT&CK Najszerzej stosowanym uporządkowaniem TTP jest MITRE ATT&CK – jawnie dostępna baza wiedzy o zachowaniach napastników, oparta na obserwacjach rzeczywistych ataków, rozwijana przez organizację MITRE i udostępniana bezpłatnie.
Macierz dla środowisk korporacyjnych obejmuje kilkanaście taktyk ułożonych w kolejności odpowiadającej przebiegowi ataku – od rozpoznania i pozyskiwania zasobów, przez dostęp początkowy, wykonanie kodu, utrzymanie dostępu, eskalację uprawnień, omijanie zabezpieczeń, dostęp do poświadczeń, rozpoznanie wewnętrzne, ruch poprzeczny, zbieranie danych, komunikację z infrastrukturą sterującą, aż po wyprowadzenie danych i wywołanie szkód. Każdej taktyce przypisano techniki, opisane w katalogu wraz z identyfikatorem, przykładami użycia i zalecanymi sposobami wykrywania, a część technik dzieli się dodatkowo na podtechniki. Według stanu z września 2026 roku katalog obejmuje 222 techniki i 475 podtechnik.
Poza macierzą korporacyjną MITRE prowadzi odrębne macierze dla urządzeń mobilnych oraz przemysłowych systemów sterowania.
Zastosowanie Opis w kategoriach TTP wykorzystuje się m.in. w analizie powłamaniowej i reagowaniu na incydenty, w projektowaniu reguł wykrywania, w testach penetracyjnych i ćwiczeniach zespołów obrony oraz przy przypisywaniu ataków konkretnym grupom napastników – powtarzalne wzorce postępowania bywają dla nich charakterystyczne.
Zobacz też Cyber kill chain Advanced Persistent Threat Threat hunting Wskaźnik naruszenia bezpieczeństwa
Przypisy
Kategoria:Bezpieczeństwo komputerowe