TTP
Taktiken, Techniken und Prozeduren
Tactics, Techniques, and Procedures
TTP steht für Tactics, Techniques and Procedures — die Beschreibung des Verhaltens von Angreifern auf drei Ebenen: das übergeordnete Ziel (Taktik), die Methode dorthin (Technik) und die konkrete Umsetzung (Prozedur). TTPs beschreiben, wie ein Angreifer arbeitet, nicht bloß welche Werkzeuge er nutzt. Genau deshalb sind sie so aussagekräftig und schwer zu fälschen.
Historie & Fakten. Das Begriffspaar stammt ursprünglich aus dem militärischen Bereich und hat sich in der Cybersicherheit als zentrale Beschreibungsebene etabliert — vor allem durch MITRE Wissensbasis gegnerischer Taktiken und Techniken (ATT&CK), das die Taktiken (das „Warum“, z. B. Erstzugang, laterale Bewegung) und Techniken (das „Wie“) realer Angreifer systematisch katalogisiert. Wichtig ist die „Pyramid of Pain“: Einfache Indikatoren wie Internetprotokoll (IP)-Adressen oder Hashes kann ein Angreifer mühelos wechseln; sein grundlegendes Verhalten — seine TTPs — zu ändern, ist für ihn dagegen aufwendig und schmerzhaft. Wer also auf TTP-Ebene erkennt, trifft den Gegner an seiner empfindlichsten Stelle.
Ausblick & Empfehlung. Erkennung sollte sich nicht allein auf flüchtige Indikatoren stützen, sondern verstärkt auf das Verhalten — also auf TTPs. Das macht die Abwehr robuster gegenüber kleinen Änderungen seitens der Angreifer und ist die Grundlage für wirksames Threat Hunting (proaktive Bedrohungssuche) (Threat Hunting). In der Praxis hilft es, eigene Erkennungsregeln und Übungen an Wissensbasis gegnerischer Taktiken und Techniken (ATT&CK) auszurichten und so systematisch zu prüfen, gegen welche Techniken man bereits sichtbar ist und wo Lücken bestehen.