Тактики, техники и процедуры (TTP).

TTP пришли из военной разведки и были адаптированы в кибербезопасности для описания поведения противника на трёх уровнях. Тактики обозначают высокоуровневую цель (например, первоначальный доступ, закрепление, эксфильтрация). Техники объясняют общий способ достижения цели (например, вложение spear-phishing, запланированная задача). Процедуры фиксируют конкретную реализацию, наблюдаемую «в дикой природе», например определённый PowerShell-загрузчик или путь в реестре. TTP — самый устойчивый уровень разведки: их изменение вынуждает противника переоснащаться. Каркас MITRE ATT&CK фактически является стандартом таксономии TTP.