A MITRE ATT&CK modellben a taktika a támadó célja vagy egy cselekmény oka, a technika a cél elérésére használt módszer, az eljárás pedig a valós tevékenységben megfigyelt konkrét megvalósítás.
Például a kezdeti hozzáférés egy taktika; a phishing (T1566) az elérésének egyik technikája; és egy adott kampány csali szövege, melléklettípusa és rámenős parancsai az eljárás. A megfigyelések TTP-khez rendelése közös nyelvet ad a védekezőknek a észlelésokhoz, a fenyegetésjelentésekhez, a gyakorlatokhoz és a kontrollteszteléshez.
Legfontosabb pontok
Elsődleges célA támadói viselkedés olyan leírása, amely incidensek és eszközök között összehasonlítható.
Védelmi felhasználásÉszlelési mérnöki munka (detection engineering), fenyegetésvadászat, purple teaming, rés-elemzés és incidensjelentés.
Relatív tartósságA viselkedések gyakran stabilabbak, mint az egyes domainek, címek vagy fájlhash-ek, bár a támadók azokat is megváltoztatják.
Fontos korlátA TTP-egyezés ritkán azonosítja önmagában a szereplőt; egymástól független csoportok használhatják ugyanazokat az eszközöket és technikákat.