Wat is de Cyber Kill Chain?
De Cyber Kill Chain is een model van Lockheed Martin dat een gerichte cyberaanval opdeelt in zeven opeenvolgende fasen, van verkenning tot het bereiken van het doel, zodat verdedigers per fase kunnen bepalen hoe zij de aanval detecteren en onderbreken. Het model werd in 2011 beschreven door Eric Hutchins, Michael Cloppert en Rohan Amin, en is afgeleid van het militaire begrip kill chain. De kerngedachte: een aanvaller moet alle fasen doorlopen, dus één effectieve maatregel in één fase is genoeg om de keten te breken.
In OT-omgevingen helpt de Kill Chain om aanvallen van bijvoorbeeld APT-groepen gestructureerd te analyseren, en vooral om ze te stoppen voordat ze de fysieke processen bereiken.
🧠 Wat zijn de zeven fasen van de Cyber Kill Chain?
De oorspronkelijke publicatie definieert de fasen voor inbraak en spionage in IT-netwerken. De derde kolom vertaalt ze naar een industriële omgeving.
| # | Fase | Definitie volgens Lockheed Martin | Voorbeeld in OT |
|---|---|---|---|
| 1 | Reconnaissance | Onderzoek, identificatie en selectie van doelwitten | Vacatures, LinkedIn-profielen en leveranciersreferenties verzamelen; open TCP/102 (S7comm) naar een PLC vinden |
| 2 | Weaponization | Een backdoor koppelen aan een exploit tot een afleverbare payload | Een Office-document met macro, of aangepaste Ladder Logic voor sabotage |
| 3 | Delivery | Het wapen in de doelomgeving afleveren | Phishing, een USB-stick, een kwetsbare Remote Access-verbinding of een besmet updatepakket (Supply Chain-risico) |
| 4 | Exploitation | De code van de aanvaller laten uitvoeren via een kwetsbaarheid of de gebruiker zelf | Misbruik van engineeringsoftware; een PLC die code accepteert zonder Code Signing |
| 5 | Installation | Een backdoor of remote access trojan installeren voor blijvende toegang | Backdoor op een Engineering Station of SCADA-webserver |
| 6 | Command and Control (C2) | Uitgaand communicatiekanaal naar de aanvaller, “hands on keyboard” | Uitgaande verbinding via de Historian of een gekaapte VPN |
| 7 | Actions on Objectives | Het eigenlijke doel: data stelen, integriteit of beschikbaarheid aantasten | Sensorwaarden manipuleren, een veiligheidsfunctie uitschakelen, PLC-logica wijzigen |
Lockheed Martin zag tussen 2004 en 2010 drie dominante afleverroutes bij APT-aanvallen: e-mailbijlagen, websites en USB-media. Voor OT zijn daar remote access voor leveranciers en de toeleveringsketen bijgekomen.
🔐 Hoe doorbreekt u de Kill Chain per fase?
Het oorspronkelijke artikel koppelt elke fase aan zes soorten verdedigende acties uit de militaire doctrine: detect, deny, disrupt, degrade, deceive en destroy. Dit heet de courses of action matrix. Zo kan een host-IDS een exploit detecteren, kan patchen de exploit voorkomen (deny) en kan Data Execution Prevention de uitvoering verstoren. Een honeypot misleidt (deceive) een aanvaller die al binnen is. Voor OT ziet een vereenvoudigde matrix er zo uit:
| Fase | Detecteren | Voorkomen of verstoren |
|---|---|---|
| Reconnaissance | SIEM-logging, netwerkmonitoring op scans | Netwerksegmentatie, Firewall, weinig publieke technische details |
| Weaponization | Threat Intelligence over gereedschap en IOC’s | Niet direct zichtbaar; inzicht via indicatoren van eerdere aanvallen |
| Delivery | Email Filtering, IDS op de IT/OT-grens | USB Control, Software Whitelisting, jump server voor leveranciers |
| Exploitation | Vulnerability Scanning, anomaliedetectie | Patchmanagement, Access Control, Code Signing |
| Installation | EDR op Windows-systemen in OT | Application Control, Least Privilege |
| Command and Control | DNS Monitoring, verkeer naar onbekende bestemmingen | Proxy, datadiode, geen directe internetroutes |
| Actions on Objectives | Procesafwijkingen, honeypots | Zero Trust Architecture, SIS onafhankelijk van de besturing, Incident Response Plan |
Hoe eerder u in de keten ingrijpt, hoe groter de kans dat u de aanval zonder schade stopt.
Het model onderscheidt ook drie soorten indicatoren: atomic (IP-adres, domeinnaam), computed (hashwaarden) en behavioral (een combinatie die het gedrag van de aanvaller beschrijft). Gedragsindicatoren en TTP’s blijven het langst bruikbaar, omdat een aanvaller zijn infrastructuur makkelijker vervangt dan zijn werkwijze.
🏭 Wat is de ICS Cyber Kill Chain?
In oktober 2015 publiceerden Michael Assante en Robert M. Lee bij SANS de ICS Cyber Kill Chain. Zij stelden dat een aanval met fysieke impact op een industrieel besturingssysteem twee stadia vraagt:
| Stadium | Fasen | Wat de aanvaller doet |
|---|---|---|
| Stadium 1: inbraak | Planning, Preparation, Cyber Intrusion, Management and Enablement, Sustainment/Entrenchment/Development/Execution | Binnendringen in het kantoornetwerk (of bij een leverancier), C2 opzetten, lateraal bewegen en kennis over het proces verzamelen |
| Stadium 2: ICS-aanval | Attack Development and Tuning, Validation, ICS Attack | Een aanval op maat bouwen, testen op vergelijkbare apparatuur en uiteindelijk uitvoeren |
Stadium 2 is moeilijk te detecteren, omdat de aanvaller de aanval meestal buiten het doelnetwerk ontwikkelt op basis van gestolen documentatie. Tussen beide stadia kunnen maanden zitten. Een gerichte aanval op het proces vraagt veel meer kennis dan een gewone IT-inbraak, maar een inbraak in stadium 1 kan ook per ongeluk een storing veroorzaken.
Twee voorbeelden uit de praktijk:
- Stuxnet - in 2010 ontdekt, maar een eerdere versie was volgens analyses al vanaf 2005–2007 in ontwikkeling en in omloop. De aflevering liep waarschijnlijk via een besmette engineeringlaptop of USB-media, omdat Natanz geen directe netwerkverbinding naar buiten had.
- Oekraïne, 23 december 2015 - de groep Sandworm kwam binnen via spearphishing met BlackEnergy 3 (stadium 1), stal VPN-inloggegevens en bediende daarna op afstand de HMI’s van drie distributiebedrijven. Ongeveer 225.000 klanten zaten enkele uren zonder stroom. Om het herstel te vertragen wisten de aanvallers systemen met KillDisk en overschreven ze de firmware van serial-to-Ethernet-converters.
🔄 Hoe verhoudt de Kill Chain zich tot andere modellen?
| Model | Herkomst | Sterk in | Beperking |
|---|---|---|---|
| Cyber Kill Chain | Lockheed Martin, 2011 | Overzicht, uitleg aan management, maatregelen per fase | Lineair en gericht op malware en de perimeter |
| ICS Cyber Kill Chain | SANS, 2015 | Twee stadia, OT-specifieke aanvalsontwikkeling | Minder bekend buiten de OT-wereld |
| MITRE ATT&CK / MITRE ATT&CK for ICS | MITRE | Concrete technieken met voorbeelden en mitigaties | Geen volgorde; veel detail |
| Unified Kill Chain | Paul Pols, 2017 | 18 fasen in drie blokken (in, through, out), combineert Kill Chain en ATT&CK | Complexer om uit te leggen |
Veel organisaties gebruiken de Kill Chain voor het verhaal en ATT&CK voor detectieregels en tests. MITRE D3FEND beschrijft daarbij de verdedigende technieken.
🔧 Hoe past u de Kill Chain toe in uw OT-omgeving?
Een praktische aanpak in zes stappen:
- Kies scenario’s - bijvoorbeeld ransomware via phishing, misbruik van leverancierstoegang en een gerichte aanval op de SIS. Gebruik Threat Intelligence uit uw sector.
- Breng zichtbaarheid per fase in kaart - welke logbronnen hebt u op de IT/OT-grens, in de DMZ, op het engineering station en in het OT-netwerk zelf?
- Vul de matrix - noteer per fase en per scenario welke maatregel detecteert, voorkomt of vertraagt. Lege cellen zijn uw blinde vlekken.
- Prioriteer vroeg ingrijpen - maatregelen in fase 1–3 (segmentatie, beheerste remote access, USB-beleid) zijn in OT vaak goedkoper dan herstel na fase 7.
- Test - speel scenario’s na in een tabletop-oefening of laat een Red Team en Blue Team samenwerken als Purple Team. Threat Hunting zoekt naar sporen van aanvallers die al in fase 5 of 6 zitten.
- Leer van incidenten - leg na elk incident vast in welke fase u het zag. Lockheed Martin adviseert ook de eerdere fasen te reconstrueren, zodat u volgende aanvallen eerder in de keten stopt.
In Nederland sluit dit aan op de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is en risicobeheer en incidentmelding verplicht stelt (zie Meldplicht Cyberbeveiligingswet). De zones en conduits van IEC 62443 en het Purdue Model bepalen waar uw detectie- en blokkadepunten logisch liggen, in lijn met Defense in Depth.
❓ Veelgestelde vragen
Wie heeft de Cyber Kill Chain bedacht?
De Cyber Kill Chain is ontwikkeld door Lockheed Martin en in 2011 gepubliceerd door Eric Hutchins, Michael Cloppert en Rohan Amin. Zij baseerden het model op het militaire kill chain-begrip en op ervaringen van hun eigen incidentresponsteam met APT-aanvallen.
Is de Cyber Kill Chain geschikt voor OT?
De Cyber Kill Chain is bruikbaar in OT, maar is oorspronkelijk ontworpen voor inbraken in IT-netwerken. Voor industriële omgevingen vult de ICS Cyber Kill Chain van SANS uit 2015 het model aan met een tweede stadium waarin de aanvaller een aanval op het besturingssysteem ontwikkelt, test en uitvoert.
Waarom zijn de eerste fasen van de Kill Chain zo belangrijk in OT?
In de eerste fasen van de Cyber Kill Chain heeft de aanvaller nog geen invloed op het fysieke proces. Wie een aanval tijdens reconnaissance, delivery of exploitation stopt, voorkomt productiestilstand, schade en veiligheidsrisico’s die in fase 7 kunnen ontstaan.
Wat is het verschil tussen de Cyber Kill Chain en MITRE ATT&CK?
De Cyber Kill Chain beschrijft zeven opeenvolgende fasen van een aanval op hoofdlijnen. MITRE ATT&CK beschrijft honderden concrete technieken, gegroepeerd per tactiek en zonder vaste volgorde, en is daardoor geschikter voor detectieregels en tests.
Wat zijn de kritiekpunten op de Cyber Kill Chain?
De Cyber Kill Chain is lineair en sterk gericht op malware en het binnendringen via de perimeter. Bedreigingen van binnenuit, misbruik van legitieme toegang en laterale beweging binnen het netwerk passen er minder goed in, wat de Unified Kill Chain en ATT&CK wel uitwerken.
Is “Cyber Kill Chain” een geregistreerd merk?
Ja, Cyber Kill Chain is een geregistreerd handelsmerk van Lockheed Martin en maakt deel uit van hun Intelligence Driven Defense-aanpak. Het model zelf is openbaar beschreven en wordt wereldwijd vrij gebruikt in trainingen en analyses.
📌 Samengevat
De Cyber Kill Chain deelt een gerichte aanval op in zeven fasen en koppelt aan elke fase verdedigende maatregelen. Voor OT voegt de ICS Cyber Kill Chain een tweede stadium toe, waarin de aanvaller zijn aanval op het proces ontwikkelt en uitvoert. Samen met MITRE ATT&CK for ICS geeft het model een gemeenschappelijke taal voor Security-teams, engineers en management.
De Cyber Kill Chain laat zien hoe een aanval zich ontwikkelt en waar u hem kunt stoppen; in OT is vroege detectie in fase 1–3 cruciaal om fysieke impact in fase 7 te voorkomen.