Quelle est la différence entre une tactique, une technique et une procédure (TTP) ?

Elles décrivent une attaque à trois niveaux de détail. Une tactique est l'objectif de l'attaquant à un moment donné, le pourquoi : le mouvement latéral, par exemple, consiste à passer d'une machine à d'autres. Une technique est la façon d'y parvenir, comme l'utilisation de services à distance, et une sous-technique la précise encore, comme le bureau à distance ou les partages administratifs SMB. Une procédure est la manière précise dont un groupe donné s'y prend : quel outil, quelle commande, dans quel ordre. On parle ensemble de TTP. La distinction compte pour la défense : bloquer une procédure, comme l'empreinte du fichier d'un outil, se contourne facilement, alors que détecter une technique, comme un poste qui ouvre soudain des sessions d'administration vers de nombreux serveurs, fonctionne quel que soit l'outil. La détection réseau travaille surtout au niveau des techniques, c'est pourquoi les alertes NetSenX nomment des techniques plutôt que des outils.

← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes