Définition simple
Les TTP décrivent les tactiques, techniques et procédures employées par un acteur pour conduire ses actions.
Objectif et usage
Elles servent à comprendre un comportement et à préparer des détections qui ne reposent pas uniquement sur des adresses IP ou des empreintes de fichiers.
Comment ça fonctionne ?
La tactique indique l’objectif, la technique une manière de l’atteindre et la procédure sa mise en œuvre concrète dans un contexte donné.
Points clés
- Exemple : plusieurs incidents utilisent des domaines différents tout en présentant un enchaînement comparable de vol d’identifiants puis d’accès aux données.
- Décrire les faits observés et les relier à une technique avec des preuves suffisantes, sans déduire automatiquement l’identité de l’attaquant.
Points d’attention
Des acteurs différents peuvent partager des TTP. Une ressemblance ne constitue pas une attribution certaine et les comportements évoluent.
En résumé
Les TTP expliquent comment un acteur agit ; elles complètent les indicateurs techniques ponctuels.