MITRE ATT&CK for ICS

Wat is MITRE ATT&CK for ICS?

MITRE ATT&CK for ICS is een vrij beschikbare kennisbasis die beschrijft welke tactieken en technieken aanvallers gebruiken tegen industriële controlesystemen, gebaseerd op waargenomen aanvallen in OT-omgevingen. Het model volgt een aanval van de eerste toegang tot het moment waarop een aanvaller het fysieke proces verstoort, de veiligheid ondermijnt of de operator blind maakt. MITRE publiceerde de eerste officiële versie op 7 januari 2020, een jaar na een eerste preview op de S4-conferentie in januari 2019. Voor verdedigers is het vooral een gemeenschappelijke taal: een SOC, een CERT, een leverancier en een procesingenieur bedoelen met “Modify Parameter” of “Alarm Suppression” precies hetzelfde.

ATT&CK for ICS helpt organisaties om aanvallen op fabrieken, energiecentrales en watervoorziening te begrijpen, te detecteren en te voorkomen, met een structuur die is afgestemd op kritieke infrastructuur.

🧠 Hoe is ATT&CK for ICS opgebouwd?

Het model bestaat uit een matrix met tactieken (het doel van een aanvaller in een bepaalde fase) en technieken (de manier waarop hij dat doel bereikt). Daaromheen staan objecten die de matrix bruikbaar maken:

• Technieken en subtechnieken - elk met een ID zoals T0878 (Alarm Suppression). Sinds versie 19 (april 2026) kent ICS ook subtechnieken, bijvoorbeeld Unauthorized Message met de varianten Command Message en Reporting Message, en Program Download met Download All, Online Edit en Program Append.
• Assets - de OT-componenten waarop een techniek zich richt, zoals PLC, HMI, historian, RTU, veiligheidscontroller en engineering workstation. MITRE voegde deze in oktober 2023 (v14) opnieuw toe en breidde ze in oktober 2025 (v18) uit met onder meer DCS-controllers, firewalls en switches.
• Groepen, software en campagnes - wie welke technieken in de praktijk heeft gebruikt, met verwijzing naar openbare analyses.
• Mitigaties - maatregelen met ID’s tussen M0800 en M0954, zoals Network Allowlists (M0807) en Network Segmentation (M0930).
• Detectiestrategieën - sinds v18 vervangen ze de korte detectieparagrafen per techniek door uitgewerkte strategieën en analytics.

MITRE brengt doorgaans twee releases per jaar uit, in april en oktober. Versie 19 bevat voor ICS 12 tactieken, 79 technieken, 18 subtechnieken, 14 groepen, 23 softwarefamilies, 8 campagnes, 52 mitigaties en 18 assettypen.

🧭 Welke tactieken kent ATT&CK for ICS?

De twaalf tactieken lopen ruwweg van links naar rechts door een aanval. De tactieken Inhibit Response Function en Impair Process Control komen alleen in het ICS-domein voor.

Het verschil met een IT-aanval zit vooral in de laatste drie kolommen. Een aanvaller die een PLC herprogrammeert, hoeft geen data te stelen of te versleutelen: het effect is fysiek, zoals een overlopende tank, een uitgeschakelde veiligheidsfunctie of een operator die het proces niet meer ziet.

🔄 Wat is het verschil met MITRE ATT&CK voor Enterprise?

MITRE ATT&CK kent drie domeinen: Enterprise, Mobile en ICS. Enterprise beschrijft aanvallen op Windows, Linux, cloud en netwerkapparatuur. ICS richt zich op de systemen die het fysieke proces besturen en bewaken.

In de praktijk gebruikt u beide naast elkaar. Veel OT-incidenten beginnen in het IT-netwerk, bijvoorbeeld met phishing of misbruik van externe toegang, en gaan via laterale beweging naar OT. Enterprise beschrijft dat eerste deel, ICS het deel waarin het proces wordt geraakt.

🔍 Welke echte aanvallen zijn in ATT&CK for ICS beschreven?

MITRE onderbouwt technieken met gedocumenteerde incidenten. Bekende voorbeelden:

• Maroochy Water Breach (2000) - een oud-medewerker van de installateur manipuleerde via radio rioolgemalen in Australië en onderdrukte de alarmmeldingen naar de centrale computer (Alarm Suppression).
• Aanvallen op het Oekraïense elektriciteitsnet (2015, 2016 en 2022) - toegeschreven aan Sandworm, met onder andere BlackEnergy en Industroyer; technieken als Unauthorized Message en Loss of View.
• TRITON (2017) - aanval op een veiligheidssysteem in een petrochemische fabriek, toegeschreven aan XENOTIME; het schoolvoorbeeld van Inhibit Response Function en Loss of Safety.
• Unitronics-campagne (2023) - de groep CyberAv3ngers bekladde HMI’s van Unitronics-PLC’s, onder meer in de watersector.
• FrostyGoop (2024) - via Modbus TCP werd de verwarming van ruim 600 flatgebouwen in Lviv uitgeschakeld.

Ook Stuxnet en PIPEDREAM (bij MITRE geregistreerd als INCONTROLLER) staan in het ICS-domein als software. Volt Typhoon staat in de kennisbasis als groep in het Enterprise-domein: de gedocumenteerde technieken betreffen IT-systemen van vitale infrastructuur, nog niet het besturingsproces zelf.

🏭 Hoe gebruikt u ATT&CK for ICS in de praktijk?

• Detectie ontwerpen - vertaal technieken naar regels in een SIEM, een IDS of NDR voor OT, en naar de werkwijze van het OT SOC. EDR dekt vooral Windows-systemen zoals HMI’s en engineering stations.
• Dekking meten - kleur in de ATT&CK Navigator per techniek in of u die kunt zien, en waar blinde vlekken zitten.
• Architectuur toetsen - controleer of uw Purdue Model, Defense in Depth-architectuur en netwerksegmentatie de belangrijkste routes blokkeren.
• Investeringen onderbouwen - laat zien welke technieken een Firewall, Access Control of beter beheer van het Engineering Station afdekken.
• Incidenten analyseren - koppel waarnemingen tijdens Incident Response aan technieken, zodat u de volgende stap van de aanvaller kunt voorspellen.
• Oefenen - gebruik technieken als scenario voor Red Team, Blue Team, Purple Team en tabletop-oefeningen, en als hypothese voor Threat Hunting.
• Leveranciers vergelijken - MITRE Engenuity hield in juli 2021 de eerste ATT&CK Evaluations for ICS, waarin Armis, Claroty, Dragos, III en Microsoft de TRITON-aanval moesten detecteren.

🛠️ Hoe brengt u stap voor stap uw dekking in kaart?

1. Kies relevante dreigingen - gebruik Threat Intelligence om de groepen en campagnes te bepalen die uw sector raken, bijvoorbeeld energie of water.
2. Leg uw assets naast de matrix - bepaal welke ATT&CK-assettypen u heeft. Zonder asset-inventaris weet u niet welke technieken relevant zijn.
3. Selecteer prioritaire technieken - begin met technieken die bij meerdere incidenten terugkomen, zoals Remote System Discovery, Program Download, Modify Parameter en Alarm Suppression.
4. Beoordeel zichtbaarheid - controleer per techniek of logging, passieve monitoring of procesdata het gedrag zichtbaar maken.
5. Koppel maatregelen - gebruik de ATT&CK-mitigaties en MITRE D3FEND om tegenmaatregelen te kiezen.
6. Test en herhaal - valideer detecties met een gecontroleerde simulatie en werk de kaart bij na elke nieuwe ATT&CK-release.

Een voorbeeld: Alarm Suppression (T0878) noemt als mitigaties onder meer Network Allowlists (M0807), Network Segmentation (M0930), een out-of-band communicatiekanaal (M0810) en een statische netwerkconfiguratie (M0814). Als detectie kijkt u naar het wegvallen van netwerkverkeer, procesdata of alarmen. Dat zijn indirecte signalen, dus u combineert ze met kennis van het normale proces.

🔐 Hoe past ATT&CK for ICS bij normen en wetgeving?

ATT&CK for ICS is geen tool en geen compliancekader, maar een kennisbasis waarop u verdedigingsmaatregelen baseert. Het ondersteunt wel wat normen en wetten van u vragen:

• IEC 62443 - bij een risicoanalyse volgens IEC 62443-3-2 maakt ATT&CK de dreigingsscenario’s concreet.
• NIS2 en de Cyberbeveiligingswet - de Nederlandse wet is sinds 15 augustus 2026 van kracht en vraagt passende maatregelen en incidentmelding. ATT&CK helpt incidenten eenduidig te beschrijven richting het NCSC.
• ISO 27001 - ATT&CK voedt de dreigingsanalyse in het Risicomanagement en het kwetsbaarheidsbeheer.

Daarmee draagt het bij aan aantoonbare compliance, zonder zelf een eis te zijn.

❓ Veelgestelde vragen

Is MITRE ATT&CK for ICS gratis te gebruiken?

MITRE ATT&CK for ICS is gratis en openbaar beschikbaar via de website van MITRE en als machineleesbare data. Organisaties mogen de kennisbasis gebruiken in eigen tools, rapporten en trainingen. Veel leveranciers van OT-monitoring koppelen hun detecties eraan.

Hoeveel technieken bevat ATT&CK for ICS?

ATT&CK for ICS versie 19 uit april 2026 bevat 79 technieken en 18 subtechnieken, verdeeld over 12 tactieken. Het aantal verandert bij elke release, die meestal in april en oktober verschijnt. Raadpleeg daarom altijd de actuele matrix.

Wat is het verschil tussen ATT&CK for ICS en de Cyber Kill Chain?

De Cyber Kill Chain beschrijft zeven fasen van een aanval op hoofdlijnen. MITRE ATT&CK for ICS gaat veel gedetailleerder in op concrete technieken, met voorbeelden uit echte incidenten en bijbehorende mitigaties. Veel organisaties gebruiken de Kill Chain voor het overzicht en ATT&CK voor detectie en analyse.

Wat zijn TTP’s in ATT&CK for ICS?

TTP’s staat voor tactieken, technieken en procedures. In MITRE ATT&CK for ICS zijn tactieken de doelen, technieken de methoden en procedures de concrete uitvoering door een groep of malware. Detectie op TTP’s is waardevol, omdat aanvallers hun werkwijze veel moeilijker aanpassen dan een IP-adres of een hashwaarde.

Heeft een kleine organisatie iets aan ATT&CK for ICS?

Ook een kleine organisatie heeft baat bij MITRE ATT&CK for ICS, vooral als checklist voor de belangrijkste aanvalsroutes. Begin met een handvol technieken die vaak voorkomen, zoals misbruik van externe toegang en programmadownloads naar PLC’s. Zo stuurt de matrix uw beperkte budget naar de maatregelen met het meeste effect.

Hoe verhoudt ATT&CK for ICS zich tot MITRE D3FEND?

MITRE ATT&CK for ICS beschrijft wat aanvallers doen, MITRE D3FEND beschrijft defensieve technieken. Door beide te koppelen ziet u welke verdediging tegen welke aanvalstechniek helpt. D3FEND is vooral op IT gericht, dus in OT vult u het aan met de ICS-mitigaties uit ATT&CK zelf.

📌 Samengevat

MITRE ATT&CK for ICS is de openbare, op echte incidenten gebaseerde kennisbasis die in 12 tactieken beschrijft hoe aanvallers industriële controlesystemen binnendringen, ongezien blijven en het fysieke proces verstoren. Gebruik het als gemeenschappelijke taal voor detectie, risicoanalyse en oefeningen, en combineer het met segmentatie, monitoring en D3FEND om uw OT-omgeving aantoonbaar beter te beschermen.