Che differenza c'è tra tattica, tecnica e procedura (TTP)?

Descrivono un attacco a tre livelli di dettaglio. Una tattica è l'obiettivo dell'attaccante in un dato momento, il perché: il movimento laterale, per esempio, significa passare da una macchina ad altre. Una tecnica è il modo in cui lo ottiene, come l'uso di servizi remoti, e una sotto-tecnica lo precisa ulteriormente, come il desktop remoto o le condivisioni amministrative SMB. Una procedura è il modo specifico in cui un certo gruppo lo fa: quale strumento, quale comando, in quale ordine. Insieme si chiamano TTP. La distinzione conta per la difesa: bloccare una procedura, come l'hash del file di uno strumento, si aggira facilmente, mentre rilevare una tecnica, come una postazione che all'improvviso apre sessioni di amministrazione verso molti server, funziona qualunque strumento si usi. Il rilevamento di rete lavora soprattutto a livello di tecnica, per questo gli alert di NetSenX indicano tecniche e non strumenti.

← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi