{"id":4840,"date":"2026-08-11T20:59:14","date_gmt":"2026-08-11T18:59:14","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4840"},"modified":"2026-08-11T22:47:00","modified_gmt":"2026-08-11T20:47:00","slug":"ttps","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ttps","title":{"rendered":"TTPs"},"content":{"rendered":"<p><strong>TTPs<\/strong> (ang. <em>Tactics, Techniques, and Procedures<\/em>, czyli taktyki, techniki i procedury) to spos\u00f3b opisania tego, <em>jak<\/em> dzia\u0142a atakuj\u0105cy. Zamiast skupia\u0107 si\u0119 na pojedynczych \u015bladach, TTP porz\u0105dkuj\u0105 zachowanie napastnika na trzech poziomach: <strong>taktyka<\/strong> to cel (\u201eco\u201d chce osi\u0105gn\u0105\u0107), <strong>technika<\/strong> to metoda (\u201ejak\u201d to robi), a <strong>procedura<\/strong> to konkretne wykonanie (\u201ejak dok\u0142adnie\u201d). Taki opis dotyczy trwa\u0142ych nawyk\u00f3w grupy atakuj\u0105cej, a nie ulotnych artefakt\u00f3w. Dlatego TTP s\u0105 najbardziej stabiln\u0105 i najtrudniejsz\u0105 do zmiany warstw\u0105 wiedzy o zagro\u017ceniu. Poj\u0119cie jest podstaw\u0105 cyberwywiadu (CTI), reagowania na incydenty (DFIR) oraz frameworku MITRE ATT&amp;CK.<\/p>\n<h2>Z czego sk\u0142adaj\u0105 si\u0119 TTPs?<\/h2>\n<p>Trzy poziomy id\u0105 od najbardziej og\u00f3lnego do najbardziej szczeg\u00f3\u0142owego:<\/p>\n<ul>\n<li><strong>Tactics (taktyki)<\/strong> odpowiadaj\u0105 na pytanie <em>\u201eco\u201d<\/em>: jaki cel ma atakuj\u0105cy na danym etapie. Przyk\u0142ady to wej\u015bcie do sieci (<code>Initial Access<\/code>), utrzymanie si\u0119 w niej (<code>Persistence<\/code>), zdobycie wy\u017cszych uprawnie\u0144 (<code>Privilege Escalation<\/code>), ukrywanie si\u0119 przed wykryciem (<code>Defense Evasion<\/code>) czy wykradanie danych (<code>Exfiltration<\/code>).<\/li>\n<li><strong>Techniques (techniki)<\/strong> odpowiadaj\u0105 na pytanie <em>\u201ejak\u201d<\/em>: jakimi metodami cel zostaje osi\u0105gni\u0119ty. Przyk\u0142ady to ukierunkowany <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/phishing\">phishing<\/a> (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/spear-phishing\">spear phishing<\/a>), wykorzystanie luki w us\u0142udze dost\u0119pnej z internetu, wykradanie hase\u0142 z pami\u0119ci komputera (credential dumping) albo wyprowadzanie danych ukrytym kana\u0142em sterowania (command-and-control).<\/li>\n<li><strong>Procedures (procedury)<\/strong> odpowiadaj\u0105 na pytanie <em>\u201ejak dok\u0142adnie\u201d<\/em>: w jaki konkretny, powtarzalny spos\u00f3b dany napastnik realizuje technik\u0119. Procedura to na przyk\u0142ad u\u017cycie okre\u015blonego narz\u0119dzia (Mimikatz, Cobalt Strike), zestawu polece\u0144 PowerShell, konkretnych nazw plik\u00f3w, kluczy rejestru czy kolejno\u015bci krok\u00f3w obserwowanej w prawdziwych w\u0142amaniach.<\/li>\n<\/ul>\n<p>Te poziomy \u0142\u0105cz\u0105 si\u0119 w ca\u0142o\u015b\u0107. Przyk\u0142ad: taktyka <code>Credential Access<\/code> (zdobycie hase\u0142) \u2192 technika \u201ewyci\u0105gni\u0119cie hase\u0142 z procesu LSASS\u201d \u2192 procedura \u201euruchomienie <code>procdump.exe<\/code> na procesie <code>lsass.exe<\/code> i p\u00f3\u017aniejsze odczytanie zrzutu poza systemem ofiary\u201d.<\/p>\n<h2>Jaka jest relacja TTPs do MITRE ATT&amp;CK?<\/h2>\n<p><strong>MITRE ATT&amp;CK<\/strong> to publiczna baza wiedzy, kt\u00f3ra spisuje TTP zaobserwowane w prawdziwych atakach i nadaje im wsp\u00f3lne nazwy oraz identyfikatory. Macierz ATT&amp;CK dla firm (Enterprise) ustawia taktyki mniej wi\u0119cej w kolejno\u015bci typowego ataku: od rozpoznania (<code>Reconnaissance<\/code>) i przygotowania zasob\u00f3w, przez wej\u015bcie do sieci, uruchomienie kodu, utrzymanie si\u0119, zdobycie uprawnie\u0144, ukrywanie si\u0119, zdobycie hase\u0142, rozpoznanie wewn\u0105trz sieci, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/lateral-movement-ruch-boczny\">ruch boczny<\/a>, zbieranie danych, sterowanie (command-and-control), wykradanie danych, a\u017c po ko\u0144cowy efekt (<code>Impact<\/code>).<\/p>\n<p>Ka\u017cda taktyka mie\u015bci wiele technik, a te dziel\u0105 si\u0119 dalej na podtechniki. W sumie daje to setki opisanych zachowa\u0144 z w\u0142asnymi identyfikatorami (np. <code>T1003<\/code> dla wykradania hase\u0142 z systemu). Dzi\u0119ki temu zespo\u0142y mog\u0105 przypisa\u0107 swoje regu\u0142y wykrywania do konkretnych technik, sprawdzi\u0107, ile z nich faktycznie pilnuj\u0105, i znale\u017a\u0107 luki. To du\u017co skuteczniejsze ni\u017c poleganie na prostych sygnaturach, kt\u00f3re \u0142atwo obej\u015b\u0107.<\/p>\n<h2>Czym TTPs r\u00f3\u017cni\u0105 si\u0119 od IOC?<\/h2>\n<p><strong>IOC<\/strong> (ang. <em>Indicators of Compromise<\/em>, czyli wska\u017aniki naruszenia) to konkretne, techniczne \u015blady ataku: sumy kontrolne (hashe) plik\u00f3w, adresy IP, domeny, nazwy plik\u00f3w. <strong>TTP opisuj\u0105 zachowanie<\/strong>, czyli <em>jak<\/em> atakuj\u0105cy dzia\u0142a, a nie pojedynczy \u015blad. R\u00f3\u017cnica jest praktyczna. IOC \u0142atwo i tanio podmieni\u0107 (nowy hash, inne IP), wi\u0119c wykrywanie oparte tylko na nich szybko si\u0119 starzeje. TTP zmienia si\u0119 o wiele trudniej, bo wymaga zmiany samego sposobu dzia\u0142ania.<\/p>\n<p>T\u0119 zale\u017cno\u015b\u0107 dobrze pokazuje <strong>Pyramid of Pain<\/strong> (piramida b\u00f3lu) Davida Bianco. Uk\u0142ada ona rodzaje wska\u017anik\u00f3w wed\u0142ug tego, ile \u201eb\u00f3lu\u201d sprawia atakuj\u0105cemu zablokowanie danego poziomu. Im wy\u017cej, tym bardziej napastnik musi si\u0119 natrudzi\u0107:<\/p>\n<ol>\n<li><strong>Hashe<\/strong> \u2014 zmiana trywialna (wystarczy zmieni\u0107 jeden bajt pliku, by powsta\u0142 nowy hash).<\/li>\n<li><strong>Adresy IP<\/strong> \u2014 \u0142atwe do zmiany (nowy serwer, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/vpn\">VPN<\/a>, proxy).<\/li>\n<li><strong>Domeny<\/strong> \u2014 nieco trudniejsze, ale wci\u0105\u017c tanie do podmiany.<\/li>\n<li><strong>\u015alady w sieci i na komputerze<\/strong> \u2014 np. charakterystyczne nag\u0142\u00f3wki, \u015bcie\u017cki, klucze rejestru.<\/li>\n<li><strong>Narz\u0119dzia<\/strong> \u2014 wymiana narz\u0119dzia kosztuje napastnika czas i pieni\u0105dze.<\/li>\n<li><strong>TTP<\/strong> \u2014 szczyt piramidy, najtrudniejszy do zmiany, bo zmusza do przebudowy ca\u0142ego sposobu dzia\u0142ania.<\/li>\n<\/ol>\n<p>Wniosek dla obrony jest prosty: wykrywanie oparte na TTP sprawia atakuj\u0105cemu najwi\u0119kszy \u201eb\u00f3l\u201d, bo nie da si\u0119 go obej\u015b\u0107 sam\u0105 podmian\u0105 serwer\u00f3w czy domen.<\/p>\n<h2>Dlaczego TTPs s\u0105 wa\u017cne dla wykrywania i SOC?<\/h2>\n<p>W zespole bezpiecze\u0144stwa (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a>) i w monitoringu sieci (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a>\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/nsm\">NSM<\/a>) TTP przesuwaj\u0105 wykrywanie z pojedynczych \u015blad\u00f3w na poziom zachowania. Ma to konkretne skutki:<\/p>\n<ul>\n<li><strong>Wykrywanie oparte na zachowaniu<\/strong> \u2014 regu\u0142y przypisane do technik ATT&amp;CK (np. nietypowy proces nawi\u0105zuj\u0105cy po\u0142\u0105czenia steruj\u0105ce) wychwytuj\u0105 ca\u0142\u0105 klas\u0119 dzia\u0142a\u0144, a nie jeden plik. Mniej fa\u0142szywych alarm\u00f3w i trudniej je obej\u015b\u0107.<\/li>\n<li><strong>Threat hunting (proaktywne polowanie na zagro\u017cenia)<\/strong> \u2014 szuka si\u0119 wed\u0142ug technik (\u201esprawd\u017amy, czy kto\u015b nie porusza si\u0119 po sieci przez WMI lub SMB\u201d), a nie wed\u0142ug listy hashy. Dane z sieci (przep\u0142ywy, zapytania <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns\">DNS<\/a>, metadane szyfrowanego ruchu, regularne \u201eodpukiwanie\u201d do serwera) ujawniaj\u0105 TTP, kt\u00f3rych same logi komputera mog\u0105 nie pokaza\u0107.<\/li>\n<li><strong>Atrybucja<\/strong> \u2014 powtarzalne procedury i charakterystyczne zestawy technik tworz\u0105 \u201eodcisk palca\u201d grupy. Pozwala to powi\u0105za\u0107 kampani\u0119 z konkretnym napastnikiem (np. grup\u0105 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/apt-advanced-persistent-threat\">APT<\/a>) pewniej ni\u017c wsp\u00f3lna infrastruktura, kt\u00f3r\u0105 \u0142atwo podmieni\u0107.<\/li>\n<li><strong>Pomiar pokrycia obrony<\/strong> \u2014 naniesienie regu\u0142 wykrywania na macierz ATT&amp;CK pokazuje, kt\u00f3re taktyki i techniki s\u0105 pilnowane, a gdzie s\u0105 martwe pola.<\/li>\n<\/ul>\n<h2>Jak wygl\u0105da mapowanie telemetrii sieciowej na TTPs?<\/h2>\n<p>Wiele technik ATT&amp;CK zostawia czytelny \u015blad w ruchu sieciowym, nawet gdy sam komputer s\u0142abo loguje zdarzenia lub jest niewidoczny dla oprogramowania na stacjach (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/edr\">EDR<\/a>):<\/p>\n<ul>\n<li><strong>Sterowanie (command-and-control)<\/strong> \u2014 regularne \u0142\u0105czenie si\u0119 z serwerem o sta\u0142ych porach, d\u0142ugie sesje, podejrzane domeny lub ukrywanie ruchu w zapytaniach DNS.<\/li>\n<li><strong>Ruch boczny<\/strong> \u2014 nietypowe po\u0142\u0105czenia <code>SMB<\/code> (port 445), <code>RDP<\/code> (3389) czy <code>WMI<\/code> mi\u0119dzy komputerami, kt\u00f3re normalnie si\u0119 ze sob\u0105 nie komunikuj\u0105.<\/li>\n<li><strong>Wykradanie danych<\/strong> \u2014 du\u017ce transfery na zewn\u0105trz, ruch wyra\u017anie bardziej wychodz\u0105cy ni\u017c przychodz\u0105cy, kana\u0142y na nietypowych portach lub przez us\u0142ugi chmurowe.<\/li>\n<li><strong>Rozpoznanie<\/strong> \u2014 skanowanie wn\u0119trza sieci, masowe zapytania DNS, sprawdzanie dost\u0119pnych us\u0142ug.<\/li>\n<\/ul>\n<p>Powi\u0105zanie tych obserwacji z identyfikatorami ATT&amp;CK pozwala opisa\u0107 incydent j\u0119zykiem TTP i oceni\u0107, na kt\u00f3rym etapie ataku jest napastnik.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/cyber-threat-intelligence\">Cyber Threat Intelligence<\/a> \u2014 CTI opisuje TTPs u\u017cywane przez atakuj\u0105cych i pomaga je rozpoznawa\u0107 w danych o zagro\u017ceniach.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/supply-chain-attack\">Supply Chain Attack<\/a> \u2014 Ataki supply chain maj\u0105 w\u0142asne TTPs, kt\u00f3re mo\u017cna \u015bledzi\u0107 na ka\u017cdym etapie \u0142a\u0144cucha dostaw.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/compliance-and-regulation-with-sycope\">Compliance i regulacje z Sycope<\/a> \u2014 Zgodno\u015b\u0107 wymaga wykrywania i dokumentowania TTPs zgodnie z wymaganiami bezpiecze\u0144stwa i audytu.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/mittre-attck\">MITTRE ATT&amp;CK<\/a> \u2014 MITRE ATT&amp;CK porz\u0105dkuje TTPs atakuj\u0105cych wed\u0142ug taktyk, technik i procedur.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/bledy-konfiguracji-sieci-jak-ich-uniknac-i-poprawic-konfiguracje-routera\">B\u0142\u0119dy konfiguracji sieci \u2013 jak unika\u0107 network configuration errors i poprawi\u0107 konfiguracj\u0119 routera<\/a> \u2014 B\u0142\u0119dy konfiguracji mog\u0105 u\u0142atwia\u0107 realizacj\u0119 TTPs, np. ruch boczny lub obej\u015bcie zabezpiecze\u0144.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/honeypot\">Honeypot<\/a> \u2014 Honeypot pozwala obserwowa\u0107 TTPs atakuj\u0105cych w kontrolowanym \u015brodowisku.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ioa-indicator-of-attack\">IoA (Indicator of Attack)<\/a> \u2014 IoA wykrywa aktywne TTPs na podstawie zachowania, a nie tylko znanych sygnatur.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/threat-hunting-jak-polowac-na-zagrozenia-bezpieczenstwa\">Threat Hunting \u2013 jak polowa\u0107 na zagro\u017cenia bezpiecze\u0144stwa?<\/a> \u2014 Threat hunting szuka \u015blad\u00f3w TTPs, zanim przerodz\u0105 si\u0119 w incydent.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4840","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"TTPs","ikona":"","krotki_opis":"Tactics, Techniques, and Procedures \u2014 opis tego, jak dzia\u0142a atakuj\u0105cy na trzech poziomach (cel, metoda, wykonanie), u\u017cywany w MITRE ATT&CK, threat huntingu i atrybucji."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4840","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4840"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}