TTPs

TTPs는 Tactics , Techniques and Procedures의 줄인말로 공격 전략 행위를 말한다.

Tactics: 전략, 전술 

Techniques: 기술 

Procedures : 절차

 

고통의 피라미드에서는 최상위에 위치한  단계로 공격자를 가장 어려운 단계로 끌고 가는 것이다. 

 

고통의 피라미드 

https://adm1n1.tistory.com/43

The Pyramid of Pain

 

TTPs 는 IOC(Indicator of Compromise)에서 IP,해쉬,도메인 등 정수 값이나 스트링 값으로 나타낼수 없는 것들로 행위 그 자체이며, IOC와는 다르게 공격자가 많은 시간을 들여 확보하기 때문에 쉽게 바뀌지 않고, 세분화되어 있어 기업에서 침해사고에 대한 방어 전략을 구성할 때 유효하다.

 

그래서 모의해킹을 공부할때는 기술들을 보이는 그대로 공부를 하는것 보다는 TTPs  기반으로 공부를 하면 체계적으로 공부를 할수 있다. 

 

KISA(한국인터넷진흥원)에서는  TTPs를 다음과 같은 단계로 진행된다고 정의했다.

출처: https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000127&nttId=35330&menuNo=205021

 

 

MITRE ATT&CK (사이버 보안,국방, 항공 등 국가 안보 관련 업무를 수행하는 비영리 단체)에서 정의한 바는 다음과 같다.

 

△ 전술(Tactics) : 공격자가 공격 기술을 통해 얻고자 하는 목표로 ’Why’를 의미한다.

공격 기술(Techniques)들의 범주 역할을 한다. 현재 Enterprise Matrix에는 14개의 전술이 존재하는데, 공격 기술 수행 시 얻고자 하는 결과라고 보면 된다. 

(예시 : 정보 탐색, 접속 자격 증명, 권한 상승 등)

​

△ 기술(Techniques) : 공격자가 목표를 달성하기 위한 방법으로 ’How’를 의미한다. 

목표 별로 분류된 전술(Tactics)에 따라 다양한 공격 기술(Techniques)이 존재할 수 있다. 목표를 위해 공격자가 어떤 종류의 해킹 기술을 이용했는지에 대한 분류를 의미한다. 

(예시 : 접속 자격 증명을 위한 Brute Force, Password Gussing, Password Cracking 등)

​

△ 절차(Procedure) : 공격 기술(Techniques) 진행을 위해 시도한 실제 상세 공격 방법이다. 

(예시 : APT28 그룹에서 자격증명 검증을 목표로 한 Brute Force 공격 내용(사용한 공격 기술과 상세 공격 방법))

​

14개 전술에 대한 상세 내용은 아래와 같고, 각 단계별 공격 기법은 https://attack.mitre.org/에서 자세하게 확인할 수 있다.

[출처] [EQST insight] 사이버 공격 패러다임 변화에 따른 시나리오 기반 모의해킹 트렌드|작성자 ADT캡스