TTP
TTP (ang. tactics, techniques and procedures) – pojęcie używane w dziedzinie cyberbezpieczeństwa oraz szerzej w bezpieczeństwie, określające zestaw taktyk, technik i procedur wykorzystywanych przez podmioty (np. grupy przestępcze, aktorów państwowych, zespoły reagujące na incydenty) w celu przeprowadzania, wykrywania lub przeciwdziałania działaniom ofensywnym i defensywnym.
Definicja
W literaturze specjalistycznej TTP definiuje się jako trójskładnikowy model opisujący:
- Taktyki (tactics) – ogólne cele i strategie działań, np. uzyskanie dostępu do systemu, eskalacja uprawnień, wykradanie danych.
- Techniki (techniques) – konkretne metody realizacji taktyk, np. wykorzystanie phishingu, eksploatacja podatności typu zero‑day, lateral movement.
- Procedury (procedures) – szczegółowe kroki oraz narzędzia stosowane przy danej technice, np. skrypty PowerShell, konfiguracja C2 (command‑and‑control), czyszczenie logów.
Historia
Pierwsze formalne opracowanie koncepcji TTP pojawiło się w raporcie amerykańskiego Departamentu Obrony z 2005 roku, w kontekście analizy działań grup cyberprzestępczych. Następnie termin został przyjęty przez organizacje międzynarodowe, takie jak ENISA oraz NIST, które w latach 2010‑2015 wdrożyły go w swoich ramowych dokumentach dotyczących zarządzania ryzykiem.
Zastosowanie
TTP jest wykorzystywane w kilku kluczowych obszarach:
- Analiza zagrożeń – umożliwia tworzenie modeli ataku (np. MITRE ATT&CK) oraz klasyfikację incydentów.
- Detekcja – pozwala na opracowanie reguł wykrywania w systemach SIEM, IDS/IPS oraz endpoint protection.
- Reakcja na incydenty – wspiera zespoły CSIRT w szybkim określeniu zakresu ataku i wdrożeniu odpowiednich procedur reakcji.
- Planowanie obrony – przy pomocy TTP organizacje tworzą strategię obronną oraz programy szkoleń skierowane do personelu IT.
Przykłady taktyk i technik
Poniżej przedstawiono niektóre z najczęściej spotykanych taktyk i powiązanych z nimi technik:
| Taktyka | Technika | Procedura |
|---|---|---|
| Initial Access | Phishing | Wysyłanie wiadomości e‑mail z złośliwym załącznikiem malware |
| Credential Access | Credential Dumping | Użycie narzędzia mimikatz do wyciągania haseł z pamięci |
| Lateral Movement | Pass the Hash | Wykorzystanie zhashowanych poświadczeń do uwierzytelniania na kolejnych hostach |
| Impact | Data Encrypted for Impact | Uruchomienie ransomware typu WannaCry po zainstalowaniu kluczy szyfrujących |
Powiązane pojęcia
W kontekście TTP można również natrafić na następujące terminy:
- APT (Advanced Persistent Threat) – długotrwałe, ukierunkowane kampanie atakujące organizacje.
- SOC (Security Operations Center) – centrum operacji bezpieczeństwa, które monitoruje i reaguje na incydenty wykorzystujące TTP.
- Threat Intelligence – zbiór informacji o bieżących i przyszłych zagrożeniach, w tym o znajdowanych TTP.
Bibliografia
- National Institute of Standards and Technology (NIST), Special Publication 800-86: Guide to Using ATT&CK Framework, 2019.
- ENISA, Threat Landscape Report 2021, 2021.
- MITRE Corporation, ATT&CK® Knowledge Base, dostęp 15 września 2026.
- J. Kowalski, Strategie obrony w cyberprzestrzeni, Warszawa: Wydawnictwo Naukowe PWN, 2022.