TTP Tactics, Techniques, Procedures
Hur en angripare agerar — strategiskt (taktik), metodiskt (teknik), konkret (procedur).
Hierarki: taktik = mål ("få initial access"), teknik = sätt ("phishing"), procedur = exakta verktyg ("Cobalt Strike + fakturafil"). MITRE ATT&CK strukturerar TTPs. Försvar: detektera på TTP-nivå (svår att ändra) > IoC-nivå (lätt).