Definition TTP | Tactics, Techniques, and Procedures Was sind Tactics, Techniques, and Procedures (TTP)?

Anbieter zum Thema

cidaas by Widas ID GmbH

FTAPI Software GmbH

Tactics, Techniques, and Procedures beschreiben das Verhalten eines Bedrohungsakteurs. Um sich vor Angriffen zu schützen und Cyberrisiken zu minimieren, ist es wichtig, die von den Angreifern eingesetzten TTP zu kennen und zu verstehen. Es existieren verschiedene Informationsquellen, die die von Angreifern für ihre Cyberangriffe genutzten Taktiken, Techniken und Prozeduren aufführen und näher erläutern.

TTP ist das Kürzel für Tactics, Techniques, and Procedures. Die deutsche Übersetzung lautet Taktiken, Techniken und Prozeduren. Mit den TTP lässt sich das Verhalten von Bedrohungsakteuren beschreiben. Die Taktiken, Techniken und Prozeduren geben Auskunft darüber, welche Ziele die Angreifer bei ihren Cyberangriffen verfolgen, welche Strategien sie haben, welche Aktionen sie ausführen und welche Technologien, Methoden und Implementierungen sie einsetzen. Die TTP der Angreifer zu kennen und sie zu verstehen, ist eine Grundvoraussetzung, sich vor Angriffen zu schützen und Cyberrisiken zu minimieren. Die Prozesse, Tactics, Techniques, and Procedures zu sammeln, auszuwerten und zu verstehen und daraus das Wissen zur Abwehr von Cyberbedrohungen zu generieren, werden als Cyber Threat Intelligence (CTI) bezeichnet. Es handelt sich um einen proaktiven Ansatz zur Gefahrenabwehr und Sicherstellung der Informationssicherheit. Für das National Institute of Standards and Technology (NIST) sind die TTP ein wichtiger Bestandteil ihre Cybersicherheitsprogramme. Im Rahmen des Security-Frameworks MITRE ATT&CK steht eine große Wissensdatenbank mit den bei realen Angriffen verwendeten Tactics, Techniques, and Procedures zur Verfügung.

Tactics, Techniques, and Procedures im Detail

Mit den TTP wird das Verhalten von Bedrohungsakteuren in Taktiken, Techniken und Prozeduren unterteilt. Die einzelnen Begriffe haben folgende Bedeutungen:

Taktiken

Mit dem Begriff Taktiken wird das High-Level-Verhalten der Angreifer beschrieben. Darunter fallen die grundlegenden Strategien, die die Angreifer verfolgen, aber auch die eigentlichen Ziele, die sie mit ihren Angriffen erreichen möchten.

Techniken

Unter den Begriff Techniken fallen die vom Bedrohungsakteur zur Durchführung des Angriffs eingesetzten technologischen Ansätze und die verwendeten Methoden. Beispiele hierfür sind Cross-Site-Scripting (XSS), Digital Skimming (E-Skimming) oder Social Engineering und Spear Phishing.

Prozeduren

Prozeduren schließlich sind eine detaillierte Beschreibung der einzelnen Schritte und der technischen Details der durchgeführten Aktionen, mit denen die Angreifer die zuvor beschriebenen Techniken und Angriffsmethoden konkret anwenden und umsetzen. Bei einem Spear-Phishing-Angriff ist das zum Beispiel der genaue Ablauf der kompletten Kampagne mit allen Einzelschritten, vom Auskundschaften des potenziellen Opfers über die erste Kontaktaufnahme (beispielsweise per E-Mail) bis zum Entwenden von Daten oder Kompromittieren von Rechnern oder Prozessen.

Die Bedeutung der TTP für Sicherheitsprogramme und Cyber Threat Intelligence (CTI)

Die Bedrohungslandschaft ist sehr dynamisch und im stetigen Wandel. Kontinuierlich entstehen neue Bedrohungsarten und ausgefeiltere Angriffsmethoden. Um sich vor Cyberangriffen wirksam zu schützen und Cyberrisiken zu minimieren, müssen die ergriffenen Sicherheitsmaßnahmen mit den Cyberbedrohungen Schritt halten. Wesentlich hierfür ist es, den Überblick über die existierenden Bedrohungsarten zu behalten und das Verhalten der Angreifer genau zu kennen und zu verstehen. Indem das Verhalten der Bedrohungsakteure analysiert, strukturiert beschrieben und der Community zur Verfügung gestellt wird, können sich Unternehmen proaktiv auf Bedrohungen vorbereiten und die notwendigen Sicherheitsmaßnahmen ergreifen. Die Prozesse, TTP zu sammeln, auszuwerten und zu verstehen und daraus das Wissen zur Abwehr von Cyberbedrohungen zu generieren, wird als Cyber Threat Intelligence (CTI) bezeichnet.

Informationsquellen für Tactics, Techniques, and Procedures

Mittlerweile existieren zahlreiche Informationsquellen, die das Verhalten von Angreifern und den genauen Ablauf einer großen Zahl realer Cyberangriffe detailliert beschreiben und der Allgemeinheit zur Verfügung stellen. Ein wichtige Quelle stellt die offene Wissensdatenbank von MITRE ATT&CK dar. Sie basiert auf der Beobachtung und Analyse echter Cyberangriffe und dokumentiert deren Taktiken, Techniken und Prozeduren. Unterteilt sind die derzeit über 600 TTP in 14 verschiedene Kategorien. Weitere Informationen im Umgang mit TTP bieten zum Beispiel auch das Open Web Application Security Project (OWASP) oder die Cyber Threat Alliance (CTA).

(ID:49671236)