¿Qué diferencia hay entre una táctica, una técnica y un procedimiento (TTP)?

Describen un ataque con tres niveles de detalle. Una táctica es el objetivo del atacante en un momento dado, el porqué: el movimiento lateral, por ejemplo, consiste en pasar de una máquina a otras. Una técnica es cómo lo consigue, como usar servicios remotos, y una subtécnica lo concreta más, como el escritorio remoto o los recursos administrativos compartidos de SMB. Un procedimiento es la forma concreta en que lo hace un grupo determinado: qué herramienta, qué comando, en qué orden. En conjunto se llaman TTP. La distinción importa para la defensa: bloquear un procedimiento, como el hash del archivo de una herramienta, se elude con facilidad, mientras que detectar una técnica, como un puesto que de repente abre sesiones de administración hacia muchos servidores, funciona sea cual sea la herramienta. La detección de red trabaja sobre todo a nivel de técnica, y por eso las alertas de NetSenX nombran técnicas y no herramientas.

← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas