TTP : Tactics, Techniques and Procedures (tactiques, techniques et procédures)
Sécurité
TTP : Tactics, Techniques and Procedures, en français tactiques, techniques et procédures. « La manière de faire d'un attaquant, c'est-à-dire ce qu'il change le moins volontiers », par analogie avec l'écriture d'un faussaire, qui change de papier, d'encre et d'adresse, mais garde la même façon de former ses majuscules.
Trois niveaux : La tactique est le but poursuivi (obtenir un accès initial, persister, exfiltrer), la technique est le moyen général (hameçonnage avec pièce jointe, tâche planifiée), la procédure est la mise en œuvre concrète observée chez un groupe donné, outils, commandes et maladresses comprises. ATT&CK fournit le vocabulaire commun des deux premiers niveaux et documente des exemples du troisième.
Pyramide de la douleur : Dans le modèle proposé par David Bianco en 2013, les TTP occupent le sommet : changer une empreinte de fichier ou une adresse IP ne coûte presque rien à l'attaquant, changer sa façon de travailler lui coûte du temps, de l'argent et quelques nuits blanches. Les détecter rapporte donc davantage que bloquer des indicateurs jetables.
Attribution : Des TTP proches suggèrent une parenté entre deux intrusions, pas une signature. Les outils se vendent, se volent et s'imitent, et les procédures décrites dans un rapport public finissent copiées par ceux qui l'ont lu, ce qui fait des TTP un indice précieux et un alibi commode.
Ce qui arrive si on s'en passe
Une défense qui ne surveille que des indicateurs techniques (adresses, noms de domaine, empreintes de fichiers) perd la trace de l'attaquant dès qu'il loue un nouveau serveur, ce qu'il fait plus souvent que le ménage. Sans analyse des TTP, la même intrusion revient sous un nouveau déguisement et passe chaque fois pour une première. À l'inverse, attribuer une attaque sur la seule ressemblance des TTP expose à accuser le mauvais groupe, voire celui qu'un autre a pris soin d'imiter, avec les conséquences diplomatiques ou judiciaires que l'on devine.
Explication de la marmotte
Un cambrioleur peut changer de voiture et de gants, mais il garde souvent ses habitudes : entrer par la fenêtre de la cuisine, couper l'alarme de la même façon, repartir à la même heure. En cybersécurité, ces habitudes s'appellent les TTP : le but de chaque étape, la méthode employée et la façon précise de l'appliquer. Les défenseurs les étudient parce qu'elles changent beaucoup moins vite que les adresses ou les fichiers utilisés par l'attaquant. Elles aident aussi à rapprocher plusieurs attaques, sans suffire à prouver qui en est l'auteur.
Où ce terme est utilisé
- IoC ou TTP pour détecter une compromission (9 occurrences)
- Comment attribuer techniquement une cyberattaque (5 occurrences)
- CCCS Canada et ACSC Australie dans les Five Eyes (3 occurrences)
- Partager le renseignement sur la menace avec ISAC, MISP et STIX (3 occurrences)
- Pourquoi la threat intelligence commerciale alarme (3 occurrences)
- Monter un CSIRT interne, missions, services FIRST et rattachement (2 occurrences)