Procedura to konkretna realizacja techniki przez określonego napastnika – użyte narzędzia, kolejność poleceń i parametry. Ta sama technika bywa wykonywana przez różne grupy na różne sposoby.

Klasyfikacja w katalogu ATT&CK Najszerzej stosowanym uporządkowaniem TTP jest MITRE ATT&CK – jawnie dostępna baza wiedzy o zachowaniach napastników, oparta na obserwacjach rzeczywistych ataków, rozwijana przez organizację MITRE i udostępniana bezpłatnie.

Macierz dla środowisk korporacyjnych obejmuje kilkanaście taktyk ułożonych w kolejności odpowiadającej przebiegowi ataku – od rozpoznania i pozyskiwania zasobów, przez dostęp początkowy, wykonanie kodu, utrzymanie dostępu, eskalację uprawnień, omijanie zabezpieczeń, dostęp do poświadczeń, rozpoznanie wewnętrzne, ruch poprzeczny, zbieranie danych, komunikację z infrastrukturą sterującą, aż po wyprowadzenie danych i wywołanie szkód. Każdej taktyce przypisano techniki, opisane w katalogu wraz z identyfikatorem, przykładami użycia i zalecanymi sposobami wykrywania, a część technik dzieli się dodatkowo na podtechniki. Według stanu z września 2026 roku katalog obejmuje 222 techniki i 475 podtechnik.

Poza macierzą korporacyjną MITRE prowadzi odrębne macierze dla urządzeń mobilnych oraz przemysłowych systemów sterowania.