V modeli MITRE ATT&CK je taktika cieľ alebo dôvod akcie útočníka, technika je metóda použitá na dosiahnutie tohto cieľa a postup je konkrétna implementácia pozorovaná v reálnej aktivite.
Napríklad počiatočný prístup je taktika; phishing (T1566) je jedna technika na jeho dosiahnutie; a konkrétne znenie návnady kampane, typ prílohy a nasledné príkazy sú postup. Mapovanie pozorovaní na TTP dáva obráncom zdieľaný jazyk pre detekcie, hlásenia hrozieb, cvičenia a testovanie kontrol.
Kľúčové body
Primárny účelOpísať správanie útočníka spôsobom, ktorý možno porovnávať cez incidenty a nástroje.
Obranné použitieDetekčné inžinierstvo, lov hrozieb, purple teaming, analýza medzier a reportovanie incidentov.
Relatívna trvanlivosťSprávania sú často stabilnejšie než jednotlivé domény, adresy alebo hashe súborov, hoci aktéri ich menia.
Dôležité obmedzenieZhoda TTP zriedka sama identifikuje aktéra; nesúvisiace skupiny môžu používať rovnaké nástroje a techniky.