Wat is MITRE ATT&CK?
MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) is een vrij beschikbare kennisbank die beschrijft welke tactieken en technieken cyberaanvallers in echte aanvallen gebruiken, geordend in matrices voor Enterprise-, Mobile- en ICS-omgevingen. MITRE begon er in 2013 aan voor het onderzoeksproject FMX (Fort Meade Experiment), dat onderzocht hoe je aanvallers ná een inbraak in een Windows-netwerk kunt detecteren. In 2015 werd het model openbaar. Inmiddels is ATT&CK de gemeenschappelijke taal waarmee SOC-analisten, red teams, leveranciers en auditors aanvalsgedrag beschrijven.
ATT&CK helpt organisaties aanvallen te begrijpen, te detecteren en te analyseren, op basis van gedrag dat in de praktijk is waargenomen en niet op basis van theorie.
🧠 Hoe is MITRE ATT&CK opgebouwd?
De kern van ATT&CK is het drietal dat ook bekend is als TTP’s: tactieken, technieken en procedures. Sinds versie 7 (juli 2020) zit daar een vierde niveau tussen, de subtechniek.
- Tactics - het doel van de aanvaller in een fase, zoals binnenkomen of rechten verhogen. Elke tactiek heeft een ID als TA0001.
- Techniques - hoe dat doel wordt bereikt, bijvoorbeeld OS Credential Dumping (T1003).
- Sub-techniques - een preciezere variant, zoals LSASS Memory (T1003.001).
- Procedures - concrete voorbeelden van hoe een bepaalde groep of malware een techniek heeft gebruikt, met verwijzing naar openbare analyses.
Om de matrix heen staan objecten die ATT&CK bruikbaar maken: groepen (zoals APT29, Sandworm en Volt Typhoon), software (Malware en legitieme tools), campagnes, mitigaties (M-nummers) en detectiestrategieën met analytics en datacomponenten. Alle data staat in machineleesbare vorm (STIX 2.1, via TAXII of als Excel) en is te verkennen met de webtool ATT&CK Navigator.
| Tactic | Technique | Procedure |
|---|---|---|
| Initial Access | Spearphishing Attachment (T1566.001) | APT29 verstuurde spearphishing-mails met bijlagen die een exploit bevatten |
| Credential Access | OS Credential Dumping: LSASS Memory (T1003.001) | Mimikatz leest wachtwoordgegevens uit het geheugen van het LSASS-proces |
| Lateral Movement | Remote Services: Remote Desktop Protocol (T1021.001) | Inloggen via RDP op interne systemen met gestolen accounts |
🧭 Welke tactieken kent de Enterprise-matrix?
De Enterprise-matrix telt sinds versie 19 (april 2026) 15 tactieken. In die release splitste MITRE de oude tactiek Defense Evasion op in Stealth (onopvallend blijven) en Defense Impairment (beveiliging uitschakelen). De volgorde loopt ruwweg mee met het verloop van een aanval, maar een aanvaller hoeft niet alle kolommen te doorlopen.
| Tactic | ID | Beschrijving |
|---|---|---|
| Reconnaissance | TA0043 | Informatie verzamelen om een aanval voor te bereiden |
| Resource Development | TA0042 | Infrastructuur, accounts en tools klaarzetten |
| Initial Access | TA0001 | Binnenkomen in het netwerk |
| Execution | TA0002 | Kwaadaardige code uitvoeren |
| Persistence | TA0003 | Toegang behouden, ook na een herstart |
| Privilege Escalation | TA0004 | Hogere rechten verkrijgen |
| Stealth | TA0005 | Acties laten lijken op normaal gedrag |
| Defense Impairment | TA0112 | Beveiligingsmaatregelen en logging uitschakelen |
| Credential Access | TA0006 | Accountnamen, wachtwoorden en tokens stelen |
| Discovery | TA0007 | De omgeving verkennen |
| Lateral Movement | TA0008 | Zich verplaatsen binnen het netwerk |
| Collection | TA0009 | Interessante data verzamelen |
| Command and Control | TA0011 | Gecompromitteerde systemen op afstand besturen |
| Exfiltration | TA0010 | Data wegsluizen |
| Impact | TA0040 | Systemen of data verstoren, bijvoorbeeld met Ransomware |
De eerste twee tactieken kwamen in versie 8 (oktober 2020) uit het afzonderlijke PRE-ATT&CK, dat toen werd opgeheven en in Enterprise is opgegaan.
🗂 Welke ATT&CK-matrices zijn er?
MITRE onderhoudt drie domeinen, elk met eigen tactieken en technieken. De cijfers hieronder gelden voor versie 20 van 13 oktober 2026; MITRE brengt doorgaans twee releases per jaar uit, in april en oktober.
| Domein | Dekking | Tactieken | Technieken | Subtechnieken |
|---|---|---|---|---|
| Enterprise | Windows, macOS, Linux, PRE, Office Suite, Identity Provider, SaaS, IaaS, Network Devices, Containers en ESXi | 15 | 227 | 479 |
| Mobile | Android en iOS | 12 | 78 | 47 |
| ICS | PLC’s, SCADA, HMI’s, historians en andere OT-assets | 12 | 78 | 26 |
Voor OT-omgevingen is MITRE ATT&CK for ICS het belangrijkste domein, met tactieken als Inhibit Response Function en Impair Process Control die alleen in industriële systemen voorkomen. Echte OT-aanvallen beginnen echter vaak in de kantooromgeving, zodat u de Enterprise-matrix er in de praktijk naast gebruikt. Versie 20 voegde ook technieken toe voor aanvallen op AI-toepassingen, zoals Direct en Indirect Prompt Injection.
🧰 Waarvoor gebruikt u MITRE ATT&CK?
- Threat Intelligence - dreigingsrapporten vertalen naar technieken, zodat u ziet welke groepen relevant zijn voor uw sector.
- Detectie en SIEM-regels - elke use case koppelen aan een techniek-ID, zodat dekking meetbaar wordt in het SOC of OT SOC.
- Threat Hunting - gericht zoeken naar gedrag, zoals Living Off The Land-technieken die geen IOC achterlaten.
- Red, blue en purple teaming - aanvallen nabootsen op basis van een echte groep en meten wat de blue team-tooling ziet; aanvullend op een klassieke pentest.
- Leveranciers beoordelen - EDR-, XDR- en SOAR-producten tonen hun dekking in ATT&CK-termen. MITRE ATT&CK Evaluations testen sinds 2018 producten openbaar tegen nagebootste groepen, te beginnen met APT3; de resultaten bevatten bewust geen scores of ranglijst. Ook platforms als Splunk, Microsoft Sentinel en MISP labelen detecties en dreigingsinformatie met ATT&CK-ID’s.
- Dreigingsmodellering en risicomanagement - scenario’s opbouwen uit technieken die tegen uw sector zijn gezien.
🛠️ Hoe brengt u stap voor stap uw dekking in kaart?
De Amerikaanse CISA publiceerde in juni 2021 de handleiding Best Practices for MITRE ATT&CK Mapping; versie 2 van januari 2023 voegde ICS en veelgemaakte mappingfouten toe. Een praktische aanpak in vijf stappen:
- Kies relevante groepen - selecteer drie tot vijf dreigingsgroepen die uw sector aanvallen, bijvoorbeeld APT-groepen gericht op energie of water.
- Leg hun technieken vast - exporteer ze als laag in ATT&CK Navigator. Overlap tussen groepen toont de technieken met de hoogste prioriteit.
- Breng uw detectie in kaart - scoor per techniek of u de benodigde logbron heeft, of er een regel bestaat en of die getest is.
- Test met emulatie - voer de technieken gecontroleerd uit en controleer of het SOC alarm krijgt.
- Koppel maatregelen - gebruik de ATT&CK-mitigaties en MITRE D3FEND om gaten te dichten, en herhaal de analyse na elke halfjaarlijkse release.
Een veelgemaakte fout is “dekking” verwarren met “detectie”: één regel per techniek zegt weinig, omdat een techniek op tientallen manieren kan worden uitgevoerd.
🔄 Hoe verhoudt ATT&CK zich tot andere modellen?
Waar ATT&CK afzonderlijke technieken beschrijft, deelt de Cyber Kill Chain van Lockheed Martin een aanval in zeven opeenvolgende fasen in. De Kill Chain is geschikt om het verloop uit te leggen, ATT&CK om detectie en tests concreet te maken. MITRE D3FEND is de verdedigende tegenhanger met technieken voor verharding, detectie en isolatie.
Normen zoals IEC 62443 en NIST CSF schrijven voor welke maatregelen u moet nemen; ATT&CK laat zien waartegen ze helpen. Voor organisaties onder NIS2 en de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is, biedt ATT&CK een eenduidige taal om risico’s te onderbouwen en incidenten te beschrijven richting het NCSC of een sectorale CSIRT.
❓ Veelgestelde vragen
Is MITRE ATT&CK gratis?
Ja, MITRE ATT&CK is gratis te gebruiken door iedere persoon of organisatie, onder de gebruiksvoorwaarden van MITRE. U mag de naam ATT&CK echter niet in een product- of bedrijfsnaam gebruiken of suggereren dat MITRE uw product aanbeveelt.
Hoe vaak wordt MITRE ATT&CK bijgewerkt?
MITRE ATT&CK krijgt doorgaans twee releases per jaar, in april en oktober. Versie 19 van april 2026 splitste Defense Evasion op, en versie 20 van oktober 2026 voegde onder meer AI-gerelateerde technieken toe. Werk mappings en detectieregels daarom minimaal halfjaarlijks bij.
Wat is het verschil tussen een tactiek en een techniek in ATT&CK?
Een tactiek in MITRE ATT&CK is het doel van de aanvaller, zoals Credential Access. Een techniek is de manier waarop hij dat doel bereikt, zoals OS Credential Dumping. Eén techniek kan bij meerdere tactieken horen.
Bestaat PRE-ATT&CK nog?
Nee, PRE-ATT&CK is in versie 8 van oktober 2020 opgeheven als afzonderlijke matrix. De inhoud is opgegaan in de Enterprise-matrix als de tactieken Reconnaissance en Resource Development.
Is MITRE ATT&CK bruikbaar voor OT-beveiliging?
Ja, voor OT-beveiliging gebruikt u MITRE ATT&CK for ICS, een apart domein met technieken tegen PLC’s, SCADA en veiligheidssystemen. Combineer het met de Enterprise-matrix, omdat aanvallers meestal via het IT-netwerk binnenkomen voordat ze het proces raken.
Is MITRE ATT&CK een norm waaraan u moet voldoen?
Nee, MITRE ATT&CK is geen norm en kent geen certificering of compliance-eisen. Het is een kennisbank die u gebruikt naast normen als IEC 62443 en ISO 27001 om maatregelen te toetsen aan echt aanvalsgedrag.
📌 Samengevat
MITRE ATT&CK is de wereldwijd gebruikte kennisbank van echt aanvallersgedrag, met 15 Enterprise-tactieken en honderden technieken die u helpen detectie, tests en maatregelen gericht in te richten. Het biedt een gemeenschappelijke taal voor beveiligingsteams, auditors en management, en vormt samen met ATT&CK for ICS de basis voor een dreigingsgestuurde aanpak in IT- en OT-omgevingen.