Na podstawie analizowanych incydentów Mandiant wyróżnił typowy cykl życia ataku: początkowa kompromitacja (zwykle spear phishing lub zainfekowana strona odwiedzana przez pracowników ofiary, często z użyciem podatności dnia zerowego), ustanowienie przyczółka (instalacja backdoorów), eskalacja uprawnień (m.in. łamanie haseł administracyjnych), rozpoznanie wewnętrzne, ruch boczny na kolejne serwery i stacje robocze, utrzymanie obecności oraz realizacja celu – eksfiltracja danych. W incydentach opisanych w raporcie APT1 napastnicy kontrolowali sieci ofiar średnio przez rok, a w skrajnym przypadku przez prawie pięć lat.
Taktyki, techniki i procedury (TTPs) grup APT katalogowane są we frameworku MITRE ATT&CK, który dokumentuje też przypisywane poszczególnym grupom kampanie i narzędzia; baza ta stanowi wspólny język analityków zespołów obronnych oraz red teamów emulujących działania przeciwnika.