TTPs

TTPs (ang. Tactics, Techniques, and Procedures, czyli taktyki, techniki i procedury) to sposób opisania tego, jak działa atakujący. Zamiast skupiać się na pojedynczych śladach, TTP porządkują zachowanie napastnika na trzech poziomach: taktyka to cel („co” chce osiągnąć), technika to metoda („jak” to robi), a procedura to konkretne wykonanie („jak dokładnie”). Taki opis dotyczy trwałych nawyków grupy atakującej, a nie ulotnych artefaktów. Dlatego TTP są najbardziej stabilną i najtrudniejszą do zmiany warstwą wiedzy o zagrożeniu. Pojęcie jest podstawą cyberwywiadu (CTI), reagowania na incydenty (DFIR) oraz frameworku MITRE ATT&CK.

Z czego składają się TTPs?

Trzy poziomy idą od najbardziej ogólnego do najbardziej szczegółowego:

• Tactics (taktyki) odpowiadają na pytanie „co”: jaki cel ma atakujący na danym etapie. Przykłady to wejście do sieci (Initial Access), utrzymanie się w niej (Persistence), zdobycie wyższych uprawnień (Privilege Escalation), ukrywanie się przed wykryciem (Defense Evasion) czy wykradanie danych (Exfiltration).
• Techniques (techniki) odpowiadają na pytanie „jak”: jakimi metodami cel zostaje osiągnięty. Przykłady to ukierunkowany phishing (spear phishing), wykorzystanie luki w usłudze dostępnej z internetu, wykradanie haseł z pamięci komputera (credential dumping) albo wyprowadzanie danych ukrytym kanałem sterowania (command-and-control).
• Procedures (procedury) odpowiadają na pytanie „jak dokładnie”: w jaki konkretny, powtarzalny sposób dany napastnik realizuje technikę. Procedura to na przykład użycie określonego narzędzia (Mimikatz, Cobalt Strike), zestawu poleceń PowerShell, konkretnych nazw plików, kluczy rejestru czy kolejności kroków obserwowanej w prawdziwych włamaniach.

Te poziomy łączą się w całość. Przykład: taktyka Credential Access (zdobycie haseł) → technika „wyciągnięcie haseł z procesu LSASS” → procedura „uruchomienie procdump.exe na procesie lsass.exe i późniejsze odczytanie zrzutu poza systemem ofiary”.

Jaka jest relacja TTPs do MITRE ATT&CK?

MITRE ATT&CK to publiczna baza wiedzy, która spisuje TTP zaobserwowane w prawdziwych atakach i nadaje im wspólne nazwy oraz identyfikatory. Macierz ATT&CK dla firm (Enterprise) ustawia taktyki mniej więcej w kolejności typowego ataku: od rozpoznania (Reconnaissance) i przygotowania zasobów, przez wejście do sieci, uruchomienie kodu, utrzymanie się, zdobycie uprawnień, ukrywanie się, zdobycie haseł, rozpoznanie wewnątrz sieci, ruch boczny, zbieranie danych, sterowanie (command-and-control), wykradanie danych, aż po końcowy efekt (Impact).

Każda taktyka mieści wiele technik, a te dzielą się dalej na podtechniki. W sumie daje to setki opisanych zachowań z własnymi identyfikatorami (np. T1003 dla wykradania haseł z systemu). Dzięki temu zespoły mogą przypisać swoje reguły wykrywania do konkretnych technik, sprawdzić, ile z nich faktycznie pilnują, i znaleźć luki. To dużo skuteczniejsze niż poleganie na prostych sygnaturach, które łatwo obejść.

Czym TTPs różnią się od IOC?

IOC (ang. Indicators of Compromise, czyli wskaźniki naruszenia) to konkretne, techniczne ślady ataku: sumy kontrolne (hashe) plików, adresy IP, domeny, nazwy plików. TTP opisują zachowanie, czyli jak atakujący działa, a nie pojedynczy ślad. Różnica jest praktyczna. IOC łatwo i tanio podmienić (nowy hash, inne IP), więc wykrywanie oparte tylko na nich szybko się starzeje. TTP zmienia się o wiele trudniej, bo wymaga zmiany samego sposobu działania.

Tę zależność dobrze pokazuje Pyramid of Pain (piramida bólu) Davida Bianco. Układa ona rodzaje wskaźników według tego, ile „bólu” sprawia atakującemu zablokowanie danego poziomu. Im wyżej, tym bardziej napastnik musi się natrudzić:

1. Hashe — zmiana trywialna (wystarczy zmienić jeden bajt pliku, by powstał nowy hash).
2. Adresy IP — łatwe do zmiany (nowy serwer, VPN, proxy).
3. Domeny — nieco trudniejsze, ale wciąż tanie do podmiany.
4. Ślady w sieci i na komputerze — np. charakterystyczne nagłówki, ścieżki, klucze rejestru.
5. Narzędzia — wymiana narzędzia kosztuje napastnika czas i pieniądze.
6. TTP — szczyt piramidy, najtrudniejszy do zmiany, bo zmusza do przebudowy całego sposobu działania.

Wniosek dla obrony jest prosty: wykrywanie oparte na TTP sprawia atakującemu największy „ból”, bo nie da się go obejść samą podmianą serwerów czy domen.

Dlaczego TTPs są ważne dla wykrywania i SOC?

W zespole bezpieczeństwa (SOC) i w monitoringu sieci (NDR/NSM) TTP przesuwają wykrywanie z pojedynczych śladów na poziom zachowania. Ma to konkretne skutki:

• Wykrywanie oparte na zachowaniu — reguły przypisane do technik ATT&CK (np. nietypowy proces nawiązujący połączenia sterujące) wychwytują całą klasę działań, a nie jeden plik. Mniej fałszywych alarmów i trudniej je obejść.
• Threat hunting (proaktywne polowanie na zagrożenia) — szuka się według technik („sprawdźmy, czy ktoś nie porusza się po sieci przez WMI lub SMB”), a nie według listy hashy. Dane z sieci (przepływy, zapytania DNS, metadane szyfrowanego ruchu, regularne „odpukiwanie” do serwera) ujawniają TTP, których same logi komputera mogą nie pokazać.
• Atrybucja — powtarzalne procedury i charakterystyczne zestawy technik tworzą „odcisk palca” grupy. Pozwala to powiązać kampanię z konkretnym napastnikiem (np. grupą APT) pewniej niż wspólna infrastruktura, którą łatwo podmienić.
• Pomiar pokrycia obrony — naniesienie reguł wykrywania na macierz ATT&CK pokazuje, które taktyki i techniki są pilnowane, a gdzie są martwe pola.

Jak wygląda mapowanie telemetrii sieciowej na TTPs?

Wiele technik ATT&CK zostawia czytelny ślad w ruchu sieciowym, nawet gdy sam komputer słabo loguje zdarzenia lub jest niewidoczny dla oprogramowania na stacjach (EDR):

• Sterowanie (command-and-control) — regularne łączenie się z serwerem o stałych porach, długie sesje, podejrzane domeny lub ukrywanie ruchu w zapytaniach DNS.
• Ruch boczny — nietypowe połączenia SMB (port 445), RDP (3389) czy WMI między komputerami, które normalnie się ze sobą nie komunikują.
• Wykradanie danych — duże transfery na zewnątrz, ruch wyraźnie bardziej wychodzący niż przychodzący, kanały na nietypowych portach lub przez usługi chmurowe.
• Rozpoznanie — skanowanie wnętrza sieci, masowe zapytania DNS, sprawdzanie dostępnych usług.

Powiązanie tych obserwacji z identyfikatorami ATT&CK pozwala opisać incydent językiem TTP i ocenić, na którym etapie ataku jest napastnik.

Dowiedz się więcej

• Cyber Threat Intelligence — CTI opisuje TTPs używane przez atakujących i pomaga je rozpoznawać w danych o zagrożeniach.
• Supply Chain Attack — Ataki supply chain mają własne TTPs, które można śledzić na każdym etapie łańcucha dostaw.
• Compliance i regulacje z Sycope — Zgodność wymaga wykrywania i dokumentowania TTPs zgodnie z wymaganiami bezpieczeństwa i audytu.
• MITTRE ATT&CK — MITRE ATT&CK porządkuje TTPs atakujących według taktyk, technik i procedur.
• Błędy konfiguracji sieci – jak unikać network configuration errors i poprawić konfigurację routera — Błędy konfiguracji mogą ułatwiać realizację TTPs, np. ruch boczny lub obejście zabezpieczeń.
• Honeypot — Honeypot pozwala obserwować TTPs atakujących w kontrolowanym środowisku.
• IoA (Indicator of Attack) — IoA wykrywa aktywne TTPs na podstawie zachowania, a nie tylko znanych sygnatur.
• Threat Hunting – jak polować na zagrożenia bezpieczeństwa? — Threat hunting szuka śladów TTPs, zanim przerodzą się w incydent.