Tactique technique et procédure

Définition

Une tactique, technique et procédure, communément désignée par l'acronyme TTP, est un modèle de classification décrivant le comportement opérationnel d'un attaquant à trois niveaux de granularité croissante. La tactique représente l'objectif général poursuivi, comme l'accès initial, l'exécution, la persistance, l'élévation de privilèges, l'exfiltration ou le mouvement latéral. La technique décrit la méthode spécifique employée pour atteindre cet objectif, par exemple le phishing par pièce jointe pour l'accès initial, référencé sous T1566 dans le référentiel MITRE ATT&CK. La procédure correspond à l'implémentation concrète et propre à un groupe d'attaquants particulier, incluant les outils spécifiques utilisés et les variations d'exécution observées lors d'incidents réels. Ce modèle, popularisé et formalisé par le framework MITRE ATT&CK, permet aux équipes de sécurité de cartographier les capacités de détection existantes, d'identifier les lacunes de couverture, et de prioriser les efforts d'ingénierie de détection en fonction des TTP les plus fréquemment observées dans leur secteur d'activité. Les TTP se situent au sommet de la pyramide de la douleur, car ils représentent le comportement fondamental et difficilement modifiable de l'adversaire, contrairement à des indicateurs de compromission superficiels comme les adresses IP ou les hachages. L'analyse des TTP alimente également l'attribution d'attaque, le threat hunting et la rédaction de rapports de renseignement sur la menace destinés aux décideurs et aux équipes opérationnelles.