MITRE D3FEND

Wat is MITRE D3FEND?

MITRE D3FEND is een vrij beschikbare kennisgraaf van cyberverdedigingstechnieken die beschrijft welke maatregelen verdedigers kunnen nemen, op welke digitale en fysieke objecten die maatregelen werken en tegen welke aanvalstechnieken uit MITRE ATT&CK ze helpen. Waar ATT&CK het gedrag van aanvallers vastlegt, geeft D3FEND verdedigers een gedeelde, precieze woordenlijst voor bescherming, detectie, isolatie en herstel. Sinds december 2025 bestaat er bovendien een uitbreiding voor OT, met technieken voor controllers, sensoren, actuatoren en engineeringstations.

D3FEND maakt van “we hebben een firewall en een SIEM” een toetsbare uitspraak: welke verdedigingstechniek, op welk object, tegen welk aanvalsgedrag?

🧠 Waar komt D3FEND vandaan?

D3FEND is ontwikkeld door het National Security Engineering Center (NSEC), een onderzoekscentrum dat MITRE voor de Amerikaanse overheid beheert. Het onderzoek wordt gefinancierd door het Cybersecurity Directorate van de NSA, later aangevuld met financiering van het Amerikaanse ministerie van Defensie. Het model is opgebouwd uit vakliteratuur en uit meer dan 500 octrooien op cyberbeveiligingsmaatregelen uit de periode 2001–2018. Zo is vastgelegd hoe beveiligingsproducten technisch werken, los van marketingtermen.

D3FEND is geen norm en geen product. Het is een ontologie: een formeel model waarin begrippen en hun onderlinge relaties machineleesbaar zijn vastgelegd. Daardoor kunnen tools en analisten er automatisch conclusies uit trekken. Sinds versie 1.0 geldt D3FEND als stabiel en verschijnen er geplande, voorspelbare updates; in oktober 2026 staat de kennisgraaf op versie 1.6.

🔧 Hoe is MITRE D3FEND opgebouwd?

De kern van D3FEND bestaat uit drie lagen:

• Tactieken - het doel van de verdediger, zoals verharden of detecteren
• Technieken - de concrete verdedigingsmethode, elk met een ID zoals D3-MFA (Multi-factor Authentication) of D3-NI (Network Isolation)
• Digitale artefacten - de objecten waarop een techniek werkt, zoals een proces, bestand, gebruikersaccount, netwerkverkeer of een PLC-programma

De matrix telt inmiddels zeven tactieken:

Let op het verschil tussen de derde en vierde kolom. Een SIEM is geen D3FEND-techniek, maar een product dat meerdere technieken kan uitvoeren. Juist die scheiding maakt het mogelijk om producten op inhoud te vergelijken.

🔄 Hoe koppelt D3FEND verdediging aan ATT&CK?

D3FEND koppelt verdedigings- en aanvalstechnieken niet via een handmatige lijst, maar via de digitale artefacten. Een aanvalstechniek werkt in op een object, een verdedigingstechniek ook. Werken ze op hetzelfde object of op een verwant object, dan leidt de ontologie een relatie af.

Een voorbeeld: Multi-factor Authentication (D3-MFA) versterkt een gebruikersaccount en gebruikt een credential. Aanvalstechnieken die op die objecten mikken, zoals Password Guessing (T1110.001), Password Spraying (T1110.003) en misbruik van domeinaccounts (T1078.002), komen daardoor als gerelateerd naar voren. D3FEND noemt deze afgeleide koppelingen zelf experimenteel. Ze tonen samenhang, maar zeggen niets over hoe effectief een maatregel is.

ATT&CK heeft zelf ook mitigaties (M-nummers), maar die zijn breed geformuleerd, zoals “Multi-factor Authentication” of “Network Segmentation”. D3FEND gaat een niveau dieper en beschrijft wat een maatregel technisch doet.

🏭 Wat voegt D3FEND for OT toe?

Tot eind 2025 was D3FEND vooral op IT gericht. D3FEND for OT bouwt voort op de kern en voegt objecten toe zoals OT-controllers, I/O-modules, sensoren, actuatoren, de HMI-applicatie, de engineeringworkstation, de procesdatahistorian, de modusschakelaar en de fysieke datadiode. Daarnaast zijn er 45 soorten OT-protocolberichten en 45 soorten OT-gebeurtenissen gemodelleerd, en kwamen er 17 nieuwe OT-tegenmaatregelen bij.

Enkele OT-tegenmaatregelen laten goed zien hoe concreet het model is:

D3FEND for OT bevat ook uitgewerkte voorbeeldmodellen van bekende incidenten, zoals TRITON, Industroyer, BlackEnergy, NotPetya, Colonial Pipeline en de aanvallen op Unitronics-PLC’s bij waterbedrijven, plus een eenvoudige en een gedetailleerde weergave van het Purdue Model. MITRE zegt er zelf nadrukkelijk bij dat D3FEND for OT geen compleet OT-model, geen compliance-checklist en geen vervanging van OT-normen is. Opvallend: bij veel OT-technieken staan nog geen afgeleide ATT&CK-koppelingen.

🧭 Hoe gebruikt u D3FEND in de praktijk?

Een werkwijze die in een productieomgeving goed werkt:

1. Modelleer uw installatie - begin met de tactiek Model: asset-inventaris, netwerkkaart en afhankelijkheden. Zonder dat overzicht blijft elke koppeling theoretisch.
2. Kies relevante aanvalstechnieken - selecteer uit MITRE ATT&CK for ICS en ATT&CK Enterprise de technieken die bij uw dreigingsbeeld passen, bijvoorbeeld uit threat intelligence van uw sector of uit adviezen van CISA, die vaak al ATT&CK-ID’s bevatten.
3. Zoek de bijbehorende verdediging - kijk per aanvalstechniek welke D3FEND-technieken op dezelfde artefacten werken.
4. Leg uw bestaande maatregelen ernaast - vertaal producten zoals EDR, SIEM, firewalls en netwerksegmentatie naar de D3FEND-technieken die ze werkelijk uitvoeren.
5. Bepaal de gaten - waar ontbreekt een laag in uw defense in depth? Prioriteer op procesimpact, niet op aantal.
6. Visualiseer en communiceer - de CAD-tool laat u aanvals- en verdedigingsgrafen tekenen en delen, handig in een purple team-oefening of bij het ontwerp van SOC-use cases en threat hunting.

Koppel de uitkomst aan de eisen die u al hebt. In IEC 62443 staan de systeemeisen in IEC 62443-3-3; D3FEND helpt aantonen welke technische maatregel welke eis invult. Voor Nederlandse organisaties onder NIS2 en de Cyberbeveiligingswet, die op 15 augustus 2026 in werking trad, levert zo’n gap-analyse onderbouwing voor de zorgplicht en voor gesprekken met auditors over compliance.

🔐 Wat zijn de beperkingen van D3FEND?

• Geen effectiviteitsscore - D3FEND schrijft volgens MITRE zelf geen maatregelen voor, prioriteert ze niet en beoordeelt hun effectiviteit niet. Testen blijft nodig.
• Experimentele koppelingen - de afgeleide relaties met ATT&CK zijn automatisch geredeneerd en kunnen te breed of te smal zijn.
• IT-zwaartepunt - ook na de OT-uitbreiding ligt het grootste deel van de technieken in IT. Vul aan met de ICS-mitigaties uit ATT&CK, NIST SP 800-82 van NIST en IEC 62443.
• Leercurve - de ontologie-aanpak is krachtig maar abstract. Begin met één scenario in plaats van de hele matrix.
• Prioriteren doet u zelf - welke maatregel eerst komt, hangt af van uw architectuur, risico’s en procesveiligheid.

❓ Veelgestelde vragen

Waar staat D3FEND voor?

D3FEND staat voor Detection, Denial, and Disruption Framework Empowering Network Defense. In de praktijk wordt vrijwel alleen de naam MITRE D3FEND gebruikt. Het is de verdedigende tegenhanger van MITRE ATT&CK.

Is MITRE D3FEND gratis te gebruiken?

MITRE D3FEND is gratis online te raadplegen en de kennisgraaf is downloadbaar voor eigen tools. Het gebruik valt onder de gebruiksvoorwaarden van MITRE. Er is geen licentie of certificering nodig om D3FEND toe te passen.

Wat is het verschil tussen MITRE D3FEND en MITRE ATT&CK?

MITRE ATT&CK beschrijft wat aanvallers doen, op basis van waargenomen aanvallen. MITRE D3FEND beschrijft wat verdedigers technisch kunnen doen en koppelt die verdedigingstechnieken via digitale artefacten aan ATT&CK-technieken. Samen geven ze een beeld van aanval en verdediging.

Is MITRE D3FEND geschikt voor OT-omgevingen?

MITRE D3FEND heeft sinds december 2025 een OT-uitbreiding met technieken zoals Operating Mode Restriction, OT Variable Access Restriction en Directional Network Link. Daarmee zijn PLC’s, HMI’s, historians en datadiodes in het model opgenomen. Voor volledige OT-dekking combineert u D3FEND met ATT&CK for ICS en IEC 62443.

Kan ik met D3FEND aantonen dat ik aan NIS2 voldoe?

MITRE D3FEND is geen compliance-framework en bevat geen wettelijke eisen. Wel helpt een D3FEND-gap-analyse om te onderbouwen welke technische maatregelen u tegen welke dreigingen hebt genomen. Dat is bruikbaar bewijs bij de zorgplicht uit NIS2 en de Cyberbeveiligingswet.

Wat is de D3FEND CAD-tool?

De D3FEND CAD-tool (Cyber Attack-Defense) is een online tekenomgeving waarin u aanvalstechnieken, artefacten en verdedigingstechnieken als knooppunten met elkaar verbindt. De tool gebruikt de redeneringen uit de D3FEND-ontologie en kwam beschikbaar met D3FEND 1.0 in januari 2025. U kunt de grafen delen via internet of binnen een afgeschermd eigen netwerk.

📌 Samengevat

MITRE D3FEND is de verdedigende tegenhanger van ATT&CK: een kennisgraaf met zeven tactieken (Model, Harden, Detect, Isolate, Deceive, Evict, Restore) die verdedigingstechnieken via digitale artefacten aan aanvalstechnieken koppelt. Met versie 1.0 uit januari 2025 en de OT-uitbreiding uit december 2025 helpt D3FEND u maatregelen precies te benoemen, gaten in uw verdediging te vinden en producten op inhoud te vergelijken, ook voor PLC’s, HMI’s en datadiodes in uw OT-omgeving.