Was ist der Unterschied zwischen Taktik, Technik und Prozedur (TTP)?
Sie beschreiben einen Angriff auf drei Detailebenen. Eine Taktik ist das Ziel des Angreifers in einem bestimmten Moment, das Warum: Laterale Bewegung etwa bedeutet, von einem Rechner zu anderen zu gelangen. Eine Technik ist das Wie, etwa die Nutzung von Remotediensten, und eine Untertechnik grenzt das weiter ein, etwa auf Remote Desktop oder administrative SMB-Freigaben. Eine Prozedur ist die konkrete Art, wie eine bestimmte Gruppe vorgeht: welches Werkzeug, welcher Befehl, in welcher Reihenfolge. Zusammen heißen sie TTPs. Der Unterschied zählt für die Abwehr: Eine Prozedur zu blockieren, etwa den Datei-Hash eines Werkzeugs, ist leicht zu umgehen, während die Erkennung einer Technik, etwa eines Arbeitsplatzrechners, der plötzlich administrative Sitzungen zu vielen Servern öffnet, unabhängig vom Werkzeug funktioniert. Netzwerkerkennung arbeitet überwiegend auf der Ebene der Techniken, deshalb nennen NetSenX-Alarme Techniken statt Werkzeuge.