影响与风险
地址和文件哈希变化很快，行为层面的描述更适合理解与验证防御。
安全运营
TTP
TTP 战术技术与程序
描述攻击者为什么做、怎么做以及具体如何操作的一组行为模式。
一句话记忆TTP 用为什么、怎么做和具体做法描述对手。
描述攻击者为什么做、怎么做以及具体如何操作的一组行为模式。
交互图解
从概念到风险，再到防护
切换三个步骤，观察角色、机制和结果的变化。
SCENE / 091安全运营
概念：一次调查把凭据窃取目标、所用技术和具体操作序列整理在一起。
一个具体场景
把概念放进日常操作
一次调查把凭据窃取目标、所用技术和具体操作序列整理在一起。
从这些线索开始
区分战术目标、技术方法和观察到的具体实施过程。
可以采取的动作
把真实证据映射到行为，验证检测覆盖，避免凭孤立指标推断完整攻击链。