W modelu MITRE ATT&CK taktyka to cel lub powód działania przeciwnika, technika to metoda używana do osiągnięcia tego celu, a procedura to konkretna implementacja zaobserwowana w realnej aktywności.
Przykładowo, initial access to taktyka; phishing (T1566) to jedna technika jej osiągania; a konkretna treść przynęty, typ załącznika i kolejne polecenia kampanii to procedura. Mapowanie obserwacji na TTP daje obrońcom wspólny język dla detekcji, raportów o zagrożeniach, ćwiczeń i testowania kontroli.
Najważniejsze punkty
Główny celOpisywać zachowanie przeciwnika w sposób porównywalny między incydentami i narzędziami.
Zastosowanie obronneInżynieria detekcji, aktywne wyszukiwanie zagrożeń, purple teaming, analiza luk i raportowanie incydentowe.
Względna trwałośćZachowania są często stabilniejsze niż pojedyncze domeny, adresy czy hasze plików, choć aktorzy je zmieniają.
Istotne ograniczenieDopasowanie TTP rzadko identyfikuje aktora samo w sobie; niezwiązane grupy mogą używać tych samych narzędzi i technik.