TTP（戦術・技術・手順）

TTP（Tactics, Techniques and Procedures）とは、脅威アクターがサイバー攻撃を実行する際の目的・手法・実施手順を表す「Tactics（戦術）」「Techniques（技術）」「Procedures（手順）」の総称です。サイバー攻撃者がどのような目的を持ち、どのような方法で攻撃を実行するのかを理解するための重要な概念であり、サイバー脅威インテリジェンスや脅威ハンティング、インシデント対応など、さまざまなセキュリティ活動で活用されています。

TTPの1つ目の構成要素であるTactics（戦術）は、攻撃者（脅威アクター）が達成しようとする目的や目標を指します。攻撃者がネットワークへの侵入といった活動を「なぜ（Why）」行うのかを示しています。

2つ目のTechniques（技術）は、目的を達成するために使用する具体的な手法を指します。「フィッシング」や「ブルートフォース攻撃」などがその例で、「どのように（How）」目的を達成するかを表しています。

最後のProcedures（手順）は、Techniques（技術）を実際に実行するための詳細な方法を指します。例えばフィッシングというTechnique（技術）に対しては、「Microsoft 365のログイン画面を模倣した偽サイトを作成する」などのProcedure（手順）が考えられます。このように、「具体的に何をするのか（What）」を表す要素です。

この図が示すように、Tacticsは攻撃者の目的を示すハイレベルな概念であり、Techniquesはその目的を達成するための方法、Proceduresはその方法を実際にどのように実行するかを示す具体的な内容です。

多数の脅威アクターが共通して使用するTTPもあれば、特定の脅威アクターや攻撃キャンペーンに特徴的なTTPも存在します。TTPは、脅威アクターの分析や攻撃キャンペーンの追跡、サイバーインテリジェンスレポートの作成、脅威ハンティング、インシデント対応など、実際のセキュリティ運用におけるさまざまな場面で活用されています。この際、TTPを体系的に整理・分析するために、MITRE ATT&CKなどのナレッジベースが広く活用されています。

TTPのさらに詳しい解説やMITRE ATT&CKとの関係性、実際の活用方法などについてはこちらの記事もご覧ください：

TTP（戦術・技術・手順）とは？意味や活用方法、ATT&CKとの関係性などを具体例と併せて解説