Cosa sono i TTP nella sicurezza informatica? Significato, esempi e difesa (2026)
Cyberlord Security Team Profilo autore
Nel linguaggio della difesa informatica, l’acronimo indica tattiche, tecniche e procedure (in inglese “tactics, techniques and procedures”). È il vocabolario con cui un analista descrive il comportamento di un avversario: non chi è, ma come opera. Spostare il fuoco dall’artefatto singolo alla sequenza degli atti cambia il modo stesso di difendersi, perché una campagna si legge come un racconto in fasi e ogni fase offre un punto dove la catena può essere spezzata.
Questa guida ripercorre la struttura della matrice MITRE ATT&CK, la differenza tra indicatori di compromissione e comportamenti osservati, un esempio di campagna ransomware scomposta tattica per tattica, un tabletop exercise per una PMI italiana e il ciclo di lavoro purple team che riutilizza la stessa tassonomia per collaudare le rilevazioni.
Tattiche, tecniche e procedure: i tre livelli
La tattica risponde alla domanda «cosa vuole ottenere l’avversario in questa fase?»: entrare nella rete, mantervi, raggiungere i sistemi di valore, portare via dati. La tecnica risponde a «come lo fa, in astratto»: ad esempio, adescare una persona attraverso un’infrastruttura di phishing o riutilizzare una sessione amministrativa rimasta viva. La procedura è la realizzazione concreta che rende riconoscibile un gruppo: un modello di messaggio, una catena di strumenti, una precisa cadenza operativa.
Per chi difende, l’utilità sta nella scala. Le tattiche organizzano il piano per fasi; le tecniche si agganciano alle regole di rilevamento; le procedure alimentano le schede di intelligence e i briefing per chi decide. Un report incidente costruito su questo impianto resta leggibile tra turni, team e fornitori esterni, senza traduzioni improbabili da un gergo all’altro.
ATT&CK: colonne di tattiche, righe di tecniche, identificativi stabili
MITRE ATT&CK è la tassonomia più diffusa e la sua struttura è più semplice di quanto sembri. Le colonne sono tattiche disposte in ordine cronologico — ingresso iniziale, esecuzione, persistenza, elevazione dei privilegi, elusione delle difese, accesso alle credenziali, scoperta, movimento laterale, raccolta, comando e controllo, esfiltrazione, impatto. Ogni colonna raccoglie tecniche e sotto-tecniche, ciascuna con un identificativo stabile: il phishing, per restare all’esempio, è T1566 nella colonna dell’ingresso iniziale, mentre la sotto-tecnica T1566.001 specifica il messaggio con allegato.
Enterprise, Mobile e ICS: una famiglia, tre superfici
La stessa struttura viene riproposta su tre superfici con aggiornamenti periodici distinti. La matrice Enterprise copre sistemi operativi, cloud, container e reti aziendali; quella Mobile riguarda i dispositivi mobili, dove il pericolo tipico è un’applicazione fuori dagli store ufficiali; la matrice ICS descrive gli impianti industriali, dove una semplice interruzione di telemetria può produrre danni fisici. Per una PMI italiana il lavoro parte quasi sempre dalla matrice Enterprise, ma chi opera in manifattura o energy ha un secondo perimetro da mappare, e le tecniche non si sovrappongono: gli identificativi iniziano con prefissi diversi e le coperture vanno verificate matrice per matrice.
Qui entra in scena il lavoro del detection engineer. Ogni regola di correlazione, ogni query di hunting e ogni classe di avviso viene etichettata con l’identificativo della tecnica che copre. Da quelle etichette nasce la mappa di copertura: a un colpo d’occhio si scopre, poniamo, che il movimento laterale è ben sorvegliato mentre la fase di raccolta dei dati resta scoperta. Un SIEM resta un elenco di avvisi finché mancano quegli identificativi; con gli identificativi diventa una mappa del rischio per fasi, confrontabile con l’intelligence pubblica e con gli esiti dei test interni.
IoC, IOA e TTP: perché gli indicatori invecchiano e i comportamenti restano
Un indicatore di compromissione (IoC) è un artefatto: l’impronta di un file, un indirizzo IP, un nome a dominio. La sua efficacia decade in poco tempo, perché gli attori riciclano l’infrastruttura e ricompilano i payload: un hash utile lunedì vale quasi zero venerdì. Un indicatore di attacco (IOA) segnala invece un’azione ancora in corso, prima che il danno sia compiuto: l’uso anomalo di uno strumento amministrativo, una richiesta di autenticazione fuori contesto, un flusso verso una destinazione inusuale.
I TTP si collocano un livello più in alto. Quando un gruppo cambia strumenti o rinnova l’infrastruttura, il disegno complessivo — le fasi seguite, le tecniche favorite, la logica che lega le procedure — rimane stabile e si muove lentamente. Di qui la conseguenza operativa: gli elenchi di indicatori invecchiano elemento per elemento, mentre le regole scritte sul comportamento continuano a valere tra campagne, mesi e versioni diverse della stessa minaccia. Per questo la threat hunting guidata da ipotesi sulla matrice (ne parliamo nella guida dedicata) produce segnalazioni che conservano valore ben oltre la singola campagna.
Esempio: una campagna ransomware letta tattica per tattica
Descriviamo la sequenza a livello di categoria, senza dettagli operativi e senza istruzioni eseguibili; per ogni fase, l’aggancio difensivo tipico.
- Ingresso iniziale. Un dipendente apre un allegato di un messaggio plausibile, oppure credenziali compromesse attraversano un accesso remoto esposto. Difesa tipica: filtri sul canale mail, formazione del personale, autenticazione con fattore aggiuntivo, revisione delle superfici esposte.
- Persistenza. L’avversario consolida la presenza ricorrendo a strumenti amministrativi legittimi e a canali di gestione già disponibili. Difesa tipica: telemetria sulle autenticazioni, inventario dei canali di controllo remoto, gestione coerente dei dispositivi (tema ripreso nella guida all’MDM).
- Scoperta e movimento laterale. Mappatura interna delle risorse e passaggi verso identità e sistemi di valore crescente. Difesa tipica: privilegi minimi, segmentazione di rete, avvisi sugli strumenti amministrativi usati fuori contesto o fuori orario.
- Raccolta. Individuazione dei repository con dati sensibili e preparazione del materiale per il trasferimento. Difesa tipica: classificazione dei dati, segnalazione di accessi anomali ai repository, regole di prevenzione della perdita dei dati.
- Impatto. Cifratura dei sistemi e richiesta di pagamento, in molti casi anticipata dall’esfiltrazione dei dati per raddoppiare la pressione estorsiva. Difesa tipica: copie di riserva immutabili, piano di ripristino collaudato, procedure di gestione della crisi.
Ciò che accade prima: ricognizione e preparazione
Prima dell’ingresso vero e proprio esistono due tattiche che spesso restano fuori dai controlli aziendali: ricognizione e sviluppo delle risorse. La ricognizione raccoglie informazioni sull’obiettivo: dipendenti visibili su LinkedIn, indirizzi di posta pubblicati nelle pagine di contatto, software dichiarato negli annunci di lavoro. Lo sviluppo delle risorse compra infrastruttura, domini di copertura e credenziali trafugate da uno stealer log. È la tattica con la minor superficie di rilevamento interna, perché quasi tutto avviene fuori dal perimetro difensivo. Le contromisure realistiche riducono la materia prima: minimizzare i dettagli esposti in rete, monitorare le menzioni dell’azienda nel web aperto, controllare a intervalli regolari se domini aziendali compaiono in raccolte confermate di credenziali e rinnovare preventivamente quelle password.
Il criterio di lettura è ciò che conta di più. Ricondotte alla tassonomia, le tappe della campagna diventano una sequenza di quesiti difensivi: dove esiste una rilevazione, chi se ne occupa, quale azione segue l’avviso. È in quel passaggio che la matrice smette di essere un diagramma e diventa un piano di lavoro.
Dalla matrice alla sala riunioni: un tabletop per una PMI italiana
Un’azienda manifatturiera da duecento dipendenti, con un team IT di tre persone, può lavorare sui TTP in un pomeriggio dedicato, senza eseguire alcuna azione tecnica:
- Il facilitatore — figura interna o consulente — costruisce un profilo di avversario realistico per il settore: quattro o cinque tattiche e una decina di tecniche scelte dalla matrice.
- La conduzione racconta le fasi in forma narrativa («un messaggio ingannevole attraversa il canale della contabilità», «una sessione ad alto privilegio viene riutilizzata di sera»), senza entrare nei dettagli di esecuzione.
- Ogni funzione risponde a tre domande: chi se ne accorgerebbe, con quali registrazioni di sistema, in quanto tempo. Le risposte si appuntano sulla matrice: verde quando esiste una rilevazione collaudata con un titolare, giallo quando restano solo stime, rosso quando mancano sia i log sia un responsabile.
- In chiusura si scelgono due o tre tecniche da colmare entro trenta giorni, assegnando a ciascuna un proprietario e una finestra di verifica; l’obiettivo è avanzare dove il rischio è più alto, non coprire tutto.
Come far durare l’esercizio nel tempo
Un tabletop produttivo muore tre volte sullo stesso grafico a colori. Perché resti vivo: rieseguite la sessione a semestri alternati cambiando il profilo di avversario (una volta lo scenario fittizio, la volta dopo una campagna realmente osservata nel settore); aggiungete una riga di storico con date e esiti, così le finestre di colore giallo viste due esercizi fa diventano l’ordine del giorno del successivo; e legate ogni colmamento promesso a un momento verificabile — il collaudo di una regola, l’attivazione di un log, la firma di un accordo con il fornitore — invece di una promessa generica di «sensibilizzazione». Con questi tre accorgimenti la mappa smette di essere un artefatto di consulenza e diventa un registro operativo che resiste al passaggio delle persone.
Il valore dell’esercizio è doppio. L’organizzazione impara a ragionare per fasi invece che per strumenti, e la mappa colorata che ne scaturisce fornisce una baseline oggettiva da ricontrollare trimestre dopo trimestre. In un clima normativo che chiede di dimostrare preparazione e tempestività di risposta, un resoconto del genere parla una lingua che la direzione capisce.
Purple team: la tassonomia come terreno di collaudo condiviso
Nel modello a squadre «rossa» e «blu», la prima simula, la seconda difende. L’approccio purple integra i due ruoli: la parte offensiva esegue azioni emulate costruite su tecniche documentate della matrice, in un ambiente autorizzato dal committente e con finalità esclusivamente difensive; la parte difensiva osserva e misura ciò che viene rilevato. Il giudizio per ogni tecnica resta volutamente essenziale: rilevata, rilevata con ritardo, oppure assente.
La tassonomia è il collante dell’intero ciclo. Poiché l’emulazione e la codifica delle rilevazioni parlano la stessa lingua degli identificativi ATT&CK, ogni esito si traduce in un’azione puntuale: una regola da correggere sull’ingresso via messaggio, una fonte di log assente nella fase di raccolta, un runbook da riscrivere per il movimento laterale. Ciclo dopo ciclo, la mappa di copertura si riempie dove il rischio è più alto: prima le tecniche più probabili per il proprio settore, poi le rimanenti.
Perimetro del collaudo: cosa ci può stare e cosa no
Un collaudo credibile dichiara in anticipo i limiti, e i limiti sono contrattuali prima che tecnici. Restano dentro i test: ambiente di produzione concordato oppure piattaforma dedicata, finestre temporali definite, un elenco di sistemi esclusi con motivazione, un canale per sospendere l’esercizio in emergenza. Restano fuori: azioni che rendono i sistemi inoperativi, uso di dati personali reali oltre il minimo indispensabile per misurare le rilevazioni, movimento laterale verso terze parti connesse. Concordare questi confini per iscritto prima di tutto non è burocrazia: è ciò che permette al team blu di distinguere un’emulazione autorizzata da un incidente vero, ed è la prima domanda che un gruppo di revisione o un auditor pone sui test condotti.
Per iniziare con i piedi per terra
Non serve un programma pluriennale. Tre mosse realistiche: selezionare da dieci a quindici tecniche prioritarie in base a settore e infrastruttura; verificare che per ciascuna esista una fonte di log utilizzabile e almeno una logica di avviso, anche semplicemente manuale; istituire infine una cadenza di collaudo con il metodo purple, partendo dagli scenari più probabili per la propria realtà.
Riferimenti per approfondire
- Quadro di sicurezza informatica del NIST: https://www.nist.gov/cyberframework
- Risorse CISA sulla sicurezza informatica: https://www.cisa.gov/cybersecurity
- ATT&CK MITRA: https://attack.mitre.org/
- Documentazione sulla sicurezza Microsoft: https://learn.microsoft.com/security/
Domande frequenti
Qual è il rischio maggiore in termini di implementazione?
Applicare la tassonomia solo sulla carta: una mappa di copertura dichiarata ma mai collaudata non difende nulla. Ogni mappatura va legata a regole di rilevamento verificate e a prove ripetute nel tempo.
Quanto velocemente i team possono vedere i progressi?
In un ciclo da trenta a novanta giorni è realistico passare dalla copertura dichiarata a quella collaudata sulle tecniche prioritarie — canale mail, autenticazioni, movimento laterale — e constatare un miglioramento concreto nei tempi di risposta.
È solo per le organizzazioni aziendali?
No. Una PMI con un team esiguo parte bene con poche tecniche prioritarie, log centralizzati e una revisione semestrale; la scala si estende solo quando i casi fondamentali sono collaudati.
Cosa dovrebbe essere misurato per primo?
Tre numeri: la quota di tecniche prioritarie con una rilevazione testata, i tempi di rilevamento e di contenimento su quelle stesse tecniche, e il numero di runbook aggiornati dopo ogni collaudo.
Come fanno i team a mantenerlo efficace?
Ripetendo il collaudo a cadenza regolare, aggiornando la mappa quando la matrice introduce nuove tecniche e riaprendo trimestre dopo trimestre le lacune rimaste in sospeso.
Conclusione
Le TTP sono il ponte tra intelligence, rilevamento e risposta: un linguaggio condiviso che trasforma un avviso in una decisione. Non occorrono strumenti in abbondanza; occorre coerenza tra la mappa delle fasi, i log che la sostengono e le prove che la confermano.
Se stai valutando come portare questo approccio nella tua realtà, il team di Cyberlord può aiutarti a costruire una roadmap difensiva e un percorso di miglioramento misurabile.