Tactics
Une tactic représente un objectif.
La question est :
Pourquoi cette action est-elle réalisée ?
Exemples :
- obtenir un accès initial ;
- maintenir un accès ;
- découvrir l'environnement ;
- obtenir des informations.
Une tactique représente donc généralement le but.
Techniques
Une technique représente une méthode générale utilisée pour atteindre un objectif.
La question est :
Comment l'objectif est-il atteint ?
Une même tactique peut être réalisée à travers différentes techniques.
Procedures
Une procedure représente une implémentation ou une manière spécifique d'appliquer une technique.
Tactic
│
▼
Technique
│
▼
Procedure
Exemple conceptuel
Tactic:
Credential Access
Technique:
A method used to obtain credentials
Procedure:
A specific implementation observed in a particular environment
Pourquoi les TTP sont importants
Les IOC peuvent changer facilement.
IP address → changed
File hash → changed
Domain → changed
Mais certains comportements peuvent rester similaires.
Les TTP permettent donc d'étudier :
- les objectifs ;
- les méthodes ;
- les comportements.
MITRE ATT&CK
Le framework MITRE ATT&CK organise notamment les comportements adverses sous forme de :
- tactics ;
- techniques ;
- sous-techniques.
Cela permet notamment de :
- comprendre des attaques ;
- cartographier des détections ;
- identifier des lacunes ;
- réaliser du threat hunting.
Exemple de relation
Objective
│
▼
Tactic
│
▼
Technique
│
▼
Specific Procedure
Points importants
- Une Tactic représente généralement un objectif.
- Une Technique représente une méthode.
- Une Procedure représente une implémentation spécifique.
- Les TTP permettent d'analyser les comportements au-delà des simples IOC.
Concepts associés
- MITRE ATT&CK
- Threat Intelligence
- IOC
- IOA
- Threat Hunting
- Detection Engineering