taktyki, techniki i procedury (TTP)

Taktyki, techniki i procedury (TTP) to trójwarstwowy opis zachowania napastnika: taktyka to jego cel na danym etapie ataku, technika to sposób osiągnięcia tego celu, a procedura to konkretna implementacja stosowana przez daną grupę. NIST w wytycznych o wymianie informacji o zagrożeniach pisze, że TTP opisują zachowanie aktora; taktyki są opisami wysokiego poziomu, techniki szczegółowymi opisami w kontekście taktyki, a procedury jeszcze bardziej szczegółowymi opisami w kontekście techniki ^[1]. TTP należą obok wskaźników, alertów i raportów do podstawowych rodzajów informacji o zagrożeniach ^[1].

Ta sama publikacja NIST zauważa, że aktorzy zagrożeń, od pojedynczych napastników po dobrze wyposażone grupy przestępcze i państwowe, używają różnych TTP, by przejmować systemy, zakłócać usługi, dokonywać oszustw finansowych oraz ujawniać lub kraść własność intelektualną i inne wrażliwe informacje ^[1]. Opis w języku TTP pozwala porównywać takie działania niezależnie od tego, kto je prowadzi i jakim narzędziem, zob. threat actor.

Trzy poziomy

W bazie MITRE ATT&CK taktyka odpowiada na pytanie „dlaczego”: to cel taktyczny przeciwnika, powód wykonania działania ^[3]. Technika odpowiada na pytanie „jak”, czyli w jaki sposób przeciwnik ten cel osiąga ^[2]. Procedura to zapis, jak konkretna grupa użyła techniki: jakim narzędziem, przeciw jakiemu oprogramowaniu, w jakiej kolejności.

NIST dodaje, że TTP mogą opisywać skłonność aktora do używania określonego wariantu złośliwego oprogramowania, kolejność działań, narzędzie ataku, sposób dostarczenia, na przykład phishing albo technikę wodopoju, lub konkretny exploit ^[1].

MITRE ATT&CK

Publicznym katalogiem TTP jest MITRE ATT&CK. MITRE opisuje go jako globalnie dostępną bazę wiedzy o taktykach i technikach przeciwników, opartą na obserwacjach z rzeczywistych ataków ^[2]. Baza służy jako podstawa modeli zagrożeń i metodyk w sektorze prywatnym, administracji i branży bezpieczeństwa i jest dostępna bezpłatnie ^[2].

Każda technika ma identyfikator, opis, sposoby wykrywania i łagodzenia oraz przykłady procedur. Strona techniki T1190 w sekcji „Procedure Examples” wymienia na przykład grupę APT28, która wykorzystywała publiczne exploity, w tym dla CVE-2020-0688 i CVE-2020-17144, by uruchomić kod na podatnych serwerach Microsoft Exchange ^[4]. To właśnie poziom procedury: ta sama technika, konkretna grupa APT i konkretne podatności.

Układ taktyk przypomina etapy Cyber Kill Chain: od pierwszego dostępu, przez utrzymanie dostępu i lateral movement, po skutek ataku. Taktyki nie muszą jednak występować w stałej kolejności.

W WordPressie

Ataki na strony WordPress dobrze opisuje się w języku TTP. Schemat poniżej zestawia typowy przebieg przejęcia strony z technikami ATT&CK.

RYS. 1Przejęcie strony opisane technikami ATT&CK

Pierwszy dostęp. Technika T1190 dotyczy wykorzystania słabości w hoście lub systemie wystawionym do internetu; słabością może być błąd oprogramowania, chwilowa usterka albo błędna konfiguracja, a atakowanymi aplikacjami są często strony i serwery WWW ^[4]. Na stronach WordPress słabością tą bywa podatność we wtyczce albo w motywie.

Utrzymanie dostępu. Technika T1505.003 opisuje webshell: skrypt umieszczony na publicznie dostępnym serwerze WWW, dający przeciwnikowi trwały dostęp ^[5]. MITRE zaleca ograniczenie uprawnień kont tak, by tylko upoważnione konta mogły modyfikować katalog WWW, i rozważenie wyłączenia funkcji takich jak eval() w PHP ^[5]. Wśród sygnałów do wykrywania wymienia nieoczekiwane tworzenie plików w katalogach WWW, po którym proces serwera uruchamia powłokę ^[5].

Skutek. Dalsze działania zależą od celu: SEO spam, złośliwe przekierowania albo web skimming w sklepie.

Opis incydentu w języku TTP ułatwia porównanie go z innymi. Dwie strony zainfekowane tym samym webshellem przez tę samą lukę wskazują na tę samą kampanię, nawet gdy adresy IP i nazwy plików się różnią.

Znaczenie dla obrony

David J. Bianco w modelu „piramidy bólu” z 2013 roku uszeregował typy wskaźników według tego, ile kosztuje napastnika ich zmiana ^[6]. U podstawy są wartości skrótów, wyżej adresy IP, domeny, artefakty sieciowe i hostowe oraz narzędzia, a na szczycie TTP ^[6]. Bianco zauważa, że dowolna zmiana pliku, nawet dopisanie bajtu zerowego na końcu, daje zupełnie inną wartość skrótu ^[6]. Obrona skierowana przeciw TTP zmusza natomiast napastnika do najbardziej czasochłonnej rzeczy: nauczenia się nowych zachowań ^[6].

NIST definiuje wskaźniki jako techniczne artefakty lub obserwacje sugerujące, że atak nadchodzi, trwa albo że do kompromitacji mogło już dojść; przykładami są adres IP serwera sterującego, podejrzana domena albo skrót złośliwego pliku ^[1]. Dlatego wskaźniki kompromitacji (IoC) i TTP się uzupełniają. IoC pozwalają szybko sprawdzić, czy znany ślad występuje w środowisku. TTP pozwalają pisać reguły wykrywania, które działają także wtedy, gdy napastnik zmieni narzędzie, co jest przedmiotem detection engineering i polowania na zagrożenia (threat hunting). Opisy TTP są też częścią threat intelligence.

Przykład z Polski

CERT Polska 30 stycznia 2026 roku opublikował raport o skoordynowanych atakach z 29 grudnia 2025 roku na polski sektor energii, obejmujących co najmniej 30 farm odnawialnych źródeł energii, elektrociepłownię i przedsiębiorstwo produkcyjne ^[7]. Raport zawiera pełny przebieg zdarzeń, analizę techniczną złośliwego oprogramowania, wskaźniki kompromitacji oraz opis technik, taktyk i procedur stosowanych przez atakującego ^[7].