TTP
Tactics, Techniques, and Procedures
TTP（戦術・技術・手順）とは
ひとことで
攻撃者の行動パターンを表す概念。IoCより変化しにくいため、TTPに基づく検知は攻撃者にとって回避が難しい。
たとえると
泥棒の「手口」です。「建物に入り込む」（戦術＝目的）ために「裏口の鍵を壊す」（技術＝やり方）、それも「深夜にバールを使う」（手順＝具体的な段取り）といった行動の癖のことです。車のナンバー（IoC）は簡単に変えられても、手口はなかなか変えられません。
現場ではこう使う
脅威ハンティングの担当者が、ある攻撃グループは「正規の管理ツールを悪用して横展開（社内の他の端末へ侵入を広げること）する」というTTPを持つと知りました。IPアドレスやハッシュ値はすぐ変わるため、「普段使わない端末から管理ツールでリモート実行される」という振る舞いを探す検知ルールを作成し、攻撃者が新しいインフラに切り替えた後も、その動きを捉えられました。
試験のポイント
EXAM POINT「攻撃者の行動パターン」「戦術・技術・手順」「脅威ハンティング」と出てきたらTTP。IPアドレスやハッシュ値などのIoCは攻撃者が簡単に変えられるのに対し、TTPは変えにくく、検知できたときの価値が高い点が問われます。TTPを整理した知識ベースとしてMITRE ATT&CKがセットで登場します。
混同しやすい用語との違い
- IoC侵害の痕跡（IPアドレス、ハッシュ値など）。攻撃者が簡単に変えられる
- ATT&CKTTPを整理・分類した知識ベース。TTPは概念そのもの
- APT高度で長期的な攻撃を行う攻撃者（グループ）。TTPはその攻撃者の行動パターン