V modelu MITRE ATT&CK je taktika cílem či důvodem akce protivníka, technika je metoda použitá k dosažení tohoto cíle a postup je konkrétní implementace pozorovaná ve skutečné aktivitě.
Například počáteční přístup je taktika; phishing (T1566) je jedna technika jeho dosažení; a konkrétní znění návnady, typ přílohy a navazující příkazy kampaně jsou postup. Mapování pozorování na TTPs dává obráncům sdílený jazyk pro detekce, zprávy o hrozbách, cvičení a testování kontrol.
Klíčové body
Primární účelPopsat chování protivníka způsobem, který lze porovnávat napříč incidenty a nástroji.
Obranné využitíDetekční inženýrství, lov hrozeb, purple teaming, analýza mezer a reportování incidentů.
Relativní trvanlivostChování je často stabilnější než jednotlivé domény, adresy či hashe souborů, ačkoli aktéři je mění.
Důležité omezeníShoda TTP zřídka sama identifikuje aktéra; nesouvisející skupiny mohou používat stejné nástroje a techniky.