TTPs Tactics Techniques Procedures

Définition

TTPs (Tactics, Techniques, and Procedures) est un concept fondamental de la cybersécurité et du DFIR qui décrit les comportements et méthodes utilisés par les acteurs de menaces pour atteindre leurs objectifs. Emprunté à la doctrine militaire, ce framework permet de caractériser les attaquants à un niveau d'abstraction plus durable et utile que les simples IOCs (Indicateurs de Compromission). La hiérarchie TTP s'organise du plus général au plus spécifique. Les Tactiques représentent les objectifs tactiques intermédiaires d'un attaquant (Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration, Impact). MITRE ATT&CK organise précisément les TTPs de centaines de groupes APT selon ces catégories. Les Techniques sont les méthodes spécifiques utilisées pour atteindre une tactique (par exemple, T1059 - Command and Scripting Interpreter). Les Procédures sont les implémentations concrètes d'une technique par un acteur spécifique (APT29 utilise T1059.001 PowerShell via des scripts spécifiques avec des patterns d'obfuscation documentés). L'avantage des TTPs par rapport aux IOCs simples est leur durabilité. Une adresse IP C2 change en quelques jours ou semaines. Un hash de malware change à chaque recompilation (polymorphisme, metamorphisme). En revanche, les TTPs — la façon dont un acteur maintient sa persistance, se déplace latéralement, ou exfiltre des données — changent beaucoup moins fréquemment car ils reflètent les habitudes, les outils et les objectifs opérationnels de l'acteur. La Pyramide de la Douleur (Pyramid of Pain) de David Bianco illustre cette hiérarchie de valeur : bloquer des hashes est trivial pour l'attaquant (recompilation), bloquer des domaines est facile (nouveau domaine), bloquer des TTPs est très difficile (changer de méthodes fondamentales).