MITRE

Wat is MITRE?

MITRE (The MITRE Corporation) is een Amerikaanse non-profitorganisatie die in opdracht van de Amerikaanse overheid onderzoeks- en ontwikkelcentra beheert en daarnaast vrij beschikbare cybersecurity-kennisbanken onderhoudt, zoals MITRE ATT&CK, MITRE D3FEND en het CVE-programma. Binnen de IT- en OT-wereld is MITRE vooral bekend als de bron van de gemeenschappelijke taal waarmee verdedigers aanvallen, kwetsbaarheden en tegenmaatregelen beschrijven. Of u nu een kwetsbaarheidsadvies van een PLC-leverancier leest, een SIEM-regel bouwt of een incident beschrijft: de kans is groot dat er een MITRE-identificatie in staat.

MITRE verkoopt geen securityproducten. De kennisbanken zijn gratis, leveranciersonafhankelijk en worden gebruikt door overheden, leveranciers en eindgebruikers wereldwijd.

🧠 Wat voor organisatie is MITRE?

MITRE werd in 1958 opgericht in Bedford (Massachusetts) als afsplitsing van het MIT Lincoln Laboratory. Het eerste werk betrof het luchtverdedigingssysteem SAGE. De naam is geen afkorting. Het hoofdkantoor is verdeeld over Bedford en McLean (Virginia), en de organisatie heeft ruim 9.000 medewerkers.

Kenmerkend is dat MITRE zogeheten FFRDC’s (Federally Funded Research and Development Centers) beheert: onderzoekscentra die met overheidsgeld werken, maar zelf geen commerciële belangen hebben. Daardoor kan MITRE onafhankelijk advies geven en kennis delen die leveranciers niet zouden publiceren. MITRE beheert er zes:

MITRE is zelf ook doelwit. Begin 2024 drongen aanvallers via twee zero-daylekken in Ivanti Connect Secure-VPN-apparaten binnen in NERVE, een onderzoeksnetwerk van MITRE. Het bedrijfsnetwerk bleef buiten schot, en MITRE publiceerde een openbare analyse, nuttig leesvoer voor iedereen met VPN-toegang tot een OT-omgeving.

🔧 Welke cybersecuritykennisbanken onderhoudt MITRE?

MITRE begon in 1999 met CVE en bouwde daarna een hele familie van kennisbanken, die elk een andere vraag beantwoorden:

Daarnaast ontwikkelde MITRE samen met DHS de uitwisselingstaal STIX voor dreigingsinformatie, waarvan het beheer in 2015 naar standaardisatieorganisatie OASIS ging.

🔍 Hoe werken CVE, ATT&CK en D3FEND samen?

De drie bekendste kennisbanken vullen elkaar aan als schakels in één keten:

1. CVE beschrijft een concrete kwetsbaarheid in een product, bijvoorbeeld een lek in de firmware van een PLC of in SCADA-software. MITRE voert het programma uit, de Amerikaanse CISA financiert het. Ruim 500 CVE Numbering Authorities, waaronder Siemens en Schneider Electric, kennen zelf nummers toe; CISA is de root voor leveranciers van industriële besturingssystemen, MITRE de CNA van laatste redmiddel. De ernstscore komt niet uit CVE maar uit CVSS, en de vraag of een lek actief wordt misbruikt uit de KEV-catalogus.
2. ATT&CK beschrijft wat een aanvaller doet, ook als er geen kwetsbaarheid nodig is. Veel OT-aanvallen misbruiken gewone functies, zoals het downloaden van een programma naar een PLC of het onderdrukken van alarmen. Elke techniek heeft een ID, zoals T0878 voor Alarm Suppression.
3. D3FEND koppelt verdedigingstechnieken aan die aanvalstechnieken via een formele ontologie. Het model kent zeven tactieken: Model, Harden, Detect, Isolate, Deceive, Evict en Restore. D3FEND wordt gefinancierd door de NSA.

Zo ontstaat een lijn van kwetsbaarheid via aanvalsgedrag naar maatregel. In april 2025 bleek hoe afhankelijk de sector van die keten is: het contract tussen CISA en MITRE voor CVE dreigde af te lopen en werd op het laatste moment met elf maanden verlengd. Begin 2026 liet CISA weten dat de financiering was veiliggesteld.

🏭 Hoe gebruikt u MITRE-kennisbanken in een OT-omgeving?

Een praktische aanpak voor een productiebedrijf, waterschap of energiebedrijf:

1. Maak uw assets bekend - leg in een assetinventaris per PLC, HMI, RTU en engineering workstation de leverancier en firmwareversie vast. Zonder versie geen CVE-koppeling.
2. Koppel kwetsbaarheden - vergelijk de inventaris met CVE-meldingen, CISA ICS-advisories en de KEV-catalogus, en neem de uitkomst op in vulnerability management en patchmanagement.
3. Kies relevante dreigingen - gebruik de groepen in ATT&CK for ICS, zoals de makers van TRITON en Industroyer, om te bepalen welke technieken voor uw sector realistisch zijn. Dat is de basis voor threat modeling.
4. Meet uw detectiedekking - leg uw SIEM-regels, OT-IDS-detecties en security monitoring naast de matrix. Kleur per techniek of u detecteert, gedeeltelijk detecteert of niets ziet.
5. Kies maatregelen met D3FEND - zoek bij de gaten de verdedigingstechnieken op, zoals netwerkisolatie of het beperken van schrijftoegang tot OT-variabelen, en verwerk ze in uw defense-in-depth-architectuur.
6. Test en oefen - laat een red team of purple team technieken nabootsen, bij voorkeur op een testopstelling. Caldera for OT bevat plugins voor Modbus, DNP3, BACnet, PROFINET DCP en IEC 61850 MMS.
7. Leg incidenten vast in ATT&CK-termen - dan kunnen uw SOC, incident response-team en externe partijen zoals het NCSC dezelfde taal spreken.

Voor leveranciers van industriële apparatuur is EMB3D interessant. Het model koppelt eigenschappen van een apparaat (hardware, systeemsoftware zoals firmware, applicatiesoftware en netwerkfuncties) aan dreigingen en geeft maatregelen in drie niveaus: foundational, intermediate en leading. Dat sluit aan bij de componenteisen van IEC 62443-4-2 en bij de Cyber Resilience Act.

🔐 Hoe verhouden MITRE-frameworks zich tot normen en wetgeving?

MITRE-kennisbanken zijn geen norm en geen wettelijke verplichting. IEC 62443, NIST CSF en NIS2 beschrijven welke maatregelen u moet nemen; MITRE laat zien waartegen die maatregelen helpen en hoe aanvallers te werk gaan. De combinatie is daarom sterk:

In Nederland is de Cyberbeveiligingswet sinds 15 augustus 2026 van kracht. Een ATT&CK-gebaseerde dreigingsanalyse en een CVE-gestuurd kwetsbaarheidsproces zijn een goede manier om aan te tonen dat uw maatregelen passend zijn.

Ook blue teams, threat hunters en leveranciers van EDR, XDR en SOAR gebruiken MITRE als referentie. Bij een zero-trust-aanpak helpen de technieken voor laterale beweging om te bepalen welke verbindingen u expliciet moet toestaan. Wees wel kritisch: een leverancier die “volledige ATT&CK-dekking” claimt, zegt weinig over de kwaliteit van detectie in uw eigen OT-netwerk.

❓ Veelgestelde vragen

Is MITRE een overheidsorganisatie?

Nee, MITRE is een zelfstandige Amerikaanse non-profitorganisatie. Het werkt grotendeels in opdracht van de Amerikaanse overheid en beheert zes door de overheid gefinancierde onderzoekscentra (FFRDC’s), maar verkoopt geen producten en heeft geen commerciële belangen.

Zijn de kennisbanken van MITRE gratis te gebruiken?

Ja, ATT&CK, ATT&CK for ICS, D3FEND, CVE, CWE en EMB3D zijn vrij beschikbaar en mogen ook in commerciële producten worden gebruikt. Wel gelden er gebruiksvoorwaarden, zoals naamsvermelding van MITRE bij het overnemen van de inhoud.

Wat is het verschil tussen MITRE ATT&CK en MITRE D3FEND?

MITRE ATT&CK beschrijft het gedrag van aanvallers in tactieken en technieken, zoals Alarm Suppression of Modify Parameter. MITRE D3FEND beschrijft de verdedigingstechnieken daartegen, verdeeld over zeven tactieken van Model tot Restore. Samen laten ze zien welke maatregel tegen welke aanvalstechniek helpt.

Beheert MITRE de CVE-database?

MITRE voert het CVE-programma uit sinds de start in 1999, met financiering van het Amerikaanse CISA. De meeste CVE-nummers worden echter toegekend door ruim 500 CVE Numbering Authorities, zoals leveranciers, en de aanvullende scores in de National Vulnerability Database komen van NIST, niet van MITRE.

Welk MITRE-framework is het belangrijkst voor OT?

Voor OT is MITRE ATT&CK for ICS het belangrijkste framework, omdat het technieken beschrijft die specifiek gericht zijn op besturingssystemen en het fysieke proces. Omdat OT-aanvallen vaak in het kantoornetwerk beginnen, gebruikt u de Enterprise-matrix ernaast. EMB3D is vooral nuttig voor leveranciers van embedded apparatuur.

Moet ik MITRE ATT&CK gebruiken om aan NIS2 te voldoen?

Nee, NIS2 en de Cyberbeveiligingswet schrijven geen specifiek framework voor. MITRE ATT&CK is wel een veelgebruikt hulpmiddel om een risicoanalyse te onderbouwen, detectie te meten en incidenten eenduidig te beschrijven richting het NCSC of een sectorale CSIRT.

📌 Samengevat

MITRE is de onafhankelijke Amerikaanse non-profit achter de gemeenschappelijke taal van cybersecurity: CVE voor kwetsbaarheden, ATT&CK voor aanvalsgedrag en D3FEND voor verdediging.

Voor OT-omgevingen zijn vooral ATT&CK for ICS, CVE, D3FEND en EMB3D waardevol. Gebruik ze naast normen als IEC 62443 en wetgeving als NIS2: de normen zeggen wat u moet doen, MITRE laat zien waartegen u zich beschermt.