În modelul MITRE ATT&CK, o tactică este obiectivul sau motivul adversarului pentru o acțiune, o tehnică este metoda folosită pentru a atinge acel obiectiv, iar o procedură este o implementare specifică observată în activitate reală.
De exemplu, accesul inițial este o tactică; phishing-ul (T1566) este o tehnică pentru a o atinge; iar formularea momelei, tipul de atașament și comenzile ulterioare ale unei anumite campanii sunt procedura. Maparea observațiilor la TTP oferă apărătorilor un limbaj comun pentru detecții, rapoarte de amenințări, exerciții și testarea controalelor.
Puncte esențiale
Scop principalDescrierea comportamentului adversarului într-un mod care poate fi comparat între incidente și instrumente.
Utilizare defensivăInginerie de detecție, vânătoare de amenințări, purple teaming, analiza lacunelor și raportarea incidentelor.
Durabilitate relativăComportamentele sunt adesea mai stabile decât domeniile, adresele sau hash-urile de fișiere individuale, deși actorii le schimbă.
Limitare importantăO potrivire de TTP rareori identifică singură un actor; grupuri neînrudite pot folosi aceleași instrumente și tehnici.