TTP

Wat zijn TTP’s?

TTP’s (Tactics, Techniques and Procedures) zijn de beschrijving van het gedrag van een cyberaanvaller: welk doel hij nastreeft (tactiek), op welke manier hij dat doel bereikt (techniek) en hoe hij die techniek concreet uitvoert (procedure). Het begrip komt uit de militaire doctrine en is in de cybersecurity de gemeenschappelijke taal van Threat Intelligence, detectie en incident response. Het bekendste raamwerk dat TTP’s ordent is MITRE ATT&CK, met voor industriële omgevingen de variant MITRE ATT&CK for ICS.

TTP’s maken het mogelijk om aanvallen te begrijpen, te herkennen en te detecteren op basis van gedrag en werkwijze, in plaats van alleen op technische kenmerken zoals IP-adressen of hashes van malware.

🧠 Wat betekenen tactiek, techniek en procedure?

De drie lagen lopen van abstract naar concreet. NIST omschrijft TTP’s kortweg als “het gedrag van een actor”, waarbij de tactiek de hoogste beschrijving is en de procedure de meest gedetailleerde.

Een eenvoudig voorbeeld uit de praktijk:

• Tactiek - Initial Access
• Techniek - Exploit Public-Facing Application (in de ICS-matrix T0819)
• Procedure - het misbruiken van een bekend lek in een SCADA-webinterface die direct aan internet hangt

Eén tactiek kan via veel technieken worden bereikt. Initial Access lukt ook via phishing met een kwaadaardige bijlage (Spearphishing Attachment, T0865) of via een gecompromitteerde leveranciersverbinding (External Remote Services, T0822). Hangt het apparaat zonder enige afscherming aan internet, dan is zelfs geen exploit nodig: dat heet Internet Accessible Device (T0883).

Hoe lager de laag, hoe specifieker en hoe makkelijker een aanvaller hem kan aanpassen. Een tactiek als “de veiligheidsfunctie uitschakelen” blijft hetzelfde; de exacte tool of opdracht verschilt per aanval.

🔺 Waarom zijn TTP’s waardevoller dan IOC’s?

David Bianco publiceerde in 2013 de Pyramid of Pain: een rangorde van indicatoren naar hoeveel “pijn” het een aanvaller doet als de verdediger ze blokkeert. Onderaan staan hashes en IP-adressen, die een aanvaller in seconden vervangt. Bovenaan staan TTP’s: wie gedrag detecteert, dwingt de aanvaller een nieuwe werkwijze te leren of op te geven.

In de praktijk heeft u beide nodig: IOC’s voor snelle reactie op een bekende campagne, TTP’s voor de aanvaller die zijn infrastructuur al heeft gewisseld.

🧩 Hoe ordent MITRE ATT&CK TTP’s?

MITRE ATT&CK is een openbare kennisbank van aanvallersgedrag, gebaseerd op waargenomen incidenten. Tactieken vormen de kolommen van de matrix, technieken en sub-technieken de cellen, en bij elke techniek staan procedure examples: welke groepen en malware de techniek aantoonbaar gebruikten. MITRE brengt twee keer per jaar een nieuwe versie uit; in oktober 2026 verscheen versie 20.

De matrix voor ICS telt twaalf tactieken. Naast de bekende IT-stappen zoals Discovery en Lateral Movement bevat hij drie OT-specifieke tactieken:

• Inhibit Response Function (TA0107) - beveiligings- en veiligheidsfuncties uitschakelen, bijvoorbeeld een SIS of alarmering
• Impair Process Control (TA0106) - het fysieke proces manipuleren, bijvoorbeeld door parameters te wijzigen
• Impact (TA0105) - het uiteindelijke effect: verlies van zicht, controle, productie of veiligheid

Technieken krijgen een vast ID, zodat detectieregels, rapporten en tools naar hetzelfde gedrag verwijzen. Enterprise-technieken beginnen met T1, de oorspronkelijke ICS-technieken met T08; sommige nieuwere ICS-technieken, zoals Command and Scripting Interpreter (T1701) uit versie 20, krijgen een T1-nummer. Controleer ID’s daarom altijd tegen de actuele versie.

🏭 Welke TTP’s zijn relevant in industriële netwerken?

Bekende OT-aanvallen laten zien dat aanvallers vaak legitieme functies misbruiken in plaats van exotische exploits:

Technieken die in OT-detectie en threat hunting vaak centraal staan:

• Valid Accounts (ICS T0859, Enterprise T1078) - inloggen met echte maar gestolen accounts
• Remote Services (T0886) - misbruik van RDP, SSH of SMB om tussen systemen en netwerksegmenten te bewegen
• Modify Alarm Settings (T0838) en Alarm Suppression (T0878) - alarmen onderdrukken zodat de operator niets ziet
• Loss of View (T0829) en Loss of Control (T0827) - de operator verliest zicht op of controle over het proces via de HMI
• Manipulation of Control (T0831) - ongeautoriseerde wijziging van besturingsopdrachten

🔧 Hoe gebruikt u TTP’s in uw OT-beveiliging?

Een praktische aanpak in zes stappen:

1. Bepaal relevante actoren - welke APT-groepen en criminele groepen richten zich op uw sector? Het NCSC en sectorale informatie-uitwisseling helpen daarbij.
2. Selecteer hun technieken - leg de bijbehorende technieken uit MITRE ATT&CK for ICS vast, bijvoorbeeld als heatmap in de ATT&CK Navigator.
3. Toets uw zichtbaarheid - kunnen uw SIEM, IDS of NDR die technieken überhaupt zien? Zonder logging van engineering-acties en netwerkverkeer op niveau 1–2 blijft Program Download onzichtbaar.
4. Bouw detectie - schrijf gedragsregels per techniek en koppel er SOAR-playbooks aan, bijvoorbeeld bij een programmadownload buiten een geplande wijziging.
5. Test met emulatie - laat een Red Team of Purple Team echte TTP’s naspelen in dreigingssimulaties, bij voorkeur op een testomgeving en niet op het draaiende proces.
6. Koppel aan maatregelen - gebruik MITRE D3FEND en de ATT&CK-mitigaties om verdedigingsmaatregelen te prioriteren en neem de scenario’s op in uw threat model en de risicobeoordeling volgens IEC 62443-3-2.

Voor Nederlandse organisaties sluit dit aan op de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is. De zorgplicht vraagt passende maatregelen voor risicobeheer en incidentafhandeling, en de meldplicht veronderstelt dat u een incident tijdig opmerkt. Een TTP-dekkingsoverzicht laat de directie en toezichthouder concreet zien welke dreigingen u kunt zien en welke niet.

🔐 Wat zijn de valkuilen bij TTP-gebaseerde detectie?

• Dekking is geen bescherming - een groen vakje in de matrix betekent dat er een regel bestaat, niet dat die in uw omgeving werkt
• Te veel ruis - gedragsregels op legitiem beheer (zoals Valid Accounts) geven valse meldingen zonder kennis van normaal OT-gedrag
• Verouderde mapping - technieken worden samengevoegd, hernoemd of krijgen nieuwe ID’s; toets uw mapping bij elke ATT&CK-release
• Alleen IT-telemetrie - veel OT-technieken zijn alleen zichtbaar in industriële protocollen, niet in Windows-logs
• Geen eigenaar - leg vast wie in het SOC of OT SOC de TTP-bibliotheek bijhoudt

❓ Veelgestelde vragen

Wat is het verschil tussen een tactiek en een techniek?

Een tactiek is het tussendoel van een aanvaller, zoals toegang krijgen of een veiligheidsfunctie uitschakelen. Een techniek is de methode waarmee hij dat doel bereikt, zoals inloggen met een gestolen account. Eén tactiek kan dus door veel verschillende technieken worden gerealiseerd.

Zijn TTP’s hetzelfde als MITRE ATT&CK?

Nee, TTP’s zijn een algemeen begrip voor aanvallersgedrag, terwijl MITRE ATT&CK een specifiek raamwerk is dat dat gedrag ordent en nummert. ATT&CK is wel de de facto standaard, waardoor TTP’s in de praktijk vaak met ATT&CK-ID’s worden aangeduid.

Waarom zijn TTP’s moeilijker te omzeilen dan IOC’s?

Een aanvaller verandert een IP-adres of hash in een paar minuten, maar een werkwijze veranderen kost tijd en kennis. Detectie op TTP’s dwingt de aanvaller daardoor nieuwe technieken te ontwikkelen. Dat is de kern van de Pyramid of Pain van David Bianco.

Bestaat er een aparte TTP-lijst voor OT?

Ja, MITRE ATT&CK for ICS beschrijft TTP’s specifiek voor industriële besturingssystemen, met twaalf tactieken waaronder Inhibit Response Function en Impair Process Control. De ICS-matrix werd begin 2020 gepubliceerd en wordt sindsdien met elke ATT&CK-versie bijgewerkt.

Hoe deelt u TTP’s met andere organisaties?

TTP’s worden meestal gedeeld in threat intelligence-rapporten met ATT&CK-ID’s, of machineleesbaar in STIX 2.1, waarin een techniek als Attack Pattern-object wordt vastgelegd. Sectorale ISAC’s en het NCSC verspreiden zulke informatie onder deelnemers.

Kan een kleine organisatie TTP’s gebruiken?

Ja, door te beginnen met een handvol technieken die in de eigen sector het vaakst voorkomen, zoals Valid Accounts en Remote Services. Een kleine organisatie hoeft niet de hele matrix af te dekken; gericht loggen op remote toegang en programmawijzigingen levert al veel op.

📌 Samengevat

TTP’s beschrijven het gedrag van aanvallers op drie niveaus en zijn daardoor duurzamer en moeilijker te omzeilen dan technische indicatoren als IP-adressen en hashes. Voor OT-omgevingen vormen TTP’s uit MITRE ATT&CK for ICS de brug tussen dreigingsinformatie, detectie, oefeningen en risicobeoordeling.