TTP 전술과 기법 및 절차

TTP는 공격자의 전술, 기법과 구체적인 수행 절차를 함께 가리키는 표현입니다. 공격에서 무엇을 이루려는지와 어떻게 수행하는지를 구분하는 데 사용합니다.

전술은 높은 수준의 목적이고 기법은 그 목적을 달성하는 방식이며 절차는 특정 상황에서 관찰되는 구체적인 구현입니다. 이 구분을 통해 파일 이름이나 주소 하나를 넘어 행동의 맥락을 설명할 수 있습니다.

다른 시스템에 접근하려는 목적과 사용한 접근 방식, 실제 환경에서 확인된 실행 흐름은 서로 다른 설명 수준입니다. 분석 자료에서는 어느 수준의 근거인지 나눠 적어야 합니다.

IOC는 해시나 주소처럼 침해와 관련된 관찰 지표이고 TTP는 행위의 방식과 맥락을 설명합니다. 어느 한쪽만으로 공격자를 확정하거나 모든 사건을 탐지할 수 있다고 보지 않습니다.

유사한 TTP는 여러 공격자가 사용할 수 있습니다. 같은 기법을 썼다는 이유만으로 동일 조직의 공격이라고 단정하지 않으며 이 원고는 실행 가능한 공격 절차를 제공하지 않습니다.