TTPs (Tactics, Techniques and Procedures)

TTPs stehen für Tactics, Techniques and Procedures – ein zentraler Begriff in der Cyber Threat Intelligence und Angriffsanalyse. TTPs beschreiben, wie Angreifer vorgehen, von der strategischen Absicht (Taktik) bis hin zu den konkreten technischen Schritten (Verfahren).

Die drei Ebenen der TTPs

1. Tactics (Taktiken):
   Das „Was“ – das übergeordnete Ziel, z. B. Privilegienausweitung oder Persistenz

2. Techniques (Techniken):
   Das „Wie“ – z. B. Passwort-Dumping oder Einsatz legitimer Tools (LOTL)

3. Procedures (Verfahren):
   Das „Wie genau“ – konkrete Umsetzung, z. B. Einsatz von mimikatz oder rundll32.exe

Warum TTPs wichtig sind

• Sie ermöglichen verhaltensbasierte Angriffserkennung

• Grundlage für Threat Hunting und Detection Rules (EDR/XDR)

• Zentrale Struktur in MITRE ATT&CK

• Besseres Verständnis für Angriffsverläufe und Gruppenzuordnungen (z. B. APTs)

Beispiel: TTP im Kontext

TTPs sind das Rückgrat moderner Cyberabwehr. Sie helfen, Angreifer nicht nur zu erkennen, sondern auch systematisch zu verstehen und abzuwehren – unabhängig von der eingesetzten Malware oder Infrastruktur.