Czym różni się taktyka, technika i procedura (TTP)?

Opisują atak na trzech poziomach szczegółowości. Taktyka to cel napastnika w danym momencie, czyli odpowiedź na pytanie „po co”: ruch lateralny oznacza na przykład przejście z jednej maszyny na inne. Technika to sposób osiągnięcia celu, na przykład użycie usług zdalnych, a podtechnika zawęża go dalej, na przykład do pulpitu zdalnego albo udziałów administracyjnych SMB. Procedura to konkretny sposób działania danej grupy: jakie narzędzie, jakie polecenie, w jakiej kolejności. Razem nazywa się je TTP. Rozróżnienie ma znaczenie dla obrony: zablokowanie procedury, na przykład skrótu pliku jednego narzędzia, łatwo obejść, a wykrycie techniki, na przykład stacji roboczej nagle otwierającej sesje administracyjne do wielu serwerów, działa niezależnie od użytego narzędzia. Wykrywanie sieciowe działa głównie na poziomie technik, dlatego alerty NetSenX nazywają techniki, a nie narzędzia.

← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy