Wat zijn threat simulations?
Threat simulations zijn gecontroleerde oefeningen waarin een organisatie realistische cyberaanvallen nabootst om te testen hoe goed haar mensen, processen en systemen een dreiging kunnen detecteren, analyseren en afhandelen. Waar een pentest vooral zoekt naar kwetsbaarheden, meet een threat simulation of de verdediging werkt: ziet het SOC de aanval, weet het team wat het moet doen en worden de juiste mensen op tijd ingeschakeld? In OT-omgevingen moet dat gebeuren zonder de productie in gevaar te brengen, met scenario’s die zijn gebaseerd op echte aanvallen op industriële installaties.
🧠 Hoe werken threat simulations?
Elke threat simulation volgt dezelfde cyclus, ongeacht de vorm:
- Doel en scope bepalen - welke vraag moet de oefening beantwoorden? Bijvoorbeeld: detecteren wij misbruik van een legitiem account op een engineering station?
- Scenario opstellen - gebaseerd op echte technieken uit MITRE ATT&CK for ICS of MITRE ATT&CK en op threat intelligence over de TTP’s van relevante dreigingsactoren
- Uitvoeren - door interne teams of externe partijen, zoals een red team
- Detecteren en reageren - het blue team en het SOC moeten de aanval herkennen, analyseren en volgens het incident response plan afhandelen
- Evalueren (debrief) - wat werd gezien, wat werd gemist en hoe snel? De bevindingen leiden tot nieuwe detectieregels, aangepaste procedures en training
Simulaties variëren van een tabletop-oefening aan tafel tot live tests in een gescheiden testomgeving en purple team-oefeningen waarin aanval en verdediging samenwerken.
Threat simulations zijn een essentieel onderdeel van security-volwassenheid en van de paraatheid voor incident response.
🔍 Welke soorten threat simulations zijn er?
| Type | Wat gebeurt er | Typische duur | Risico voor productie |
|---|---|---|---|
| Tabletop-oefening | Scenario wordt besproken; er wordt niets aangeraakt | 2 tot 4 uur | Geen |
| Functionele oefening | Teams voeren hun taken uit in een gesimuleerde omgeving | 1 tot 2 dagen | Geen tot laag |
| Breach and Attack Simulation (BAS) | Software voert automatisch bekende aanvalstechnieken uit | Doorlopend | Laag in IT, in OT alleen op een testopstelling |
| Purple teaming | Red en blue team testen samen technieken en verbeteren direct de detectie | Enkele dagen per scenario | Laag tot gemiddeld |
| Red team-test | Heimelijke aanval door ethische hackers op basis van een dreigingsscenario | Weken tot maanden | Gemiddeld tot hoog |
| Adversary emulation | Volledige nabootsing van een bekende dreigingsactor, stap voor stap | Dagen tot weken | Hoog, testomgeving aangeraden |
Discussie-oefeningen en uitvoeringsoefeningen vullen elkaar aan. Het Amerikaanse Homeland Security Exercise and Evaluation Program (HSEEP) en NIST SP 800-84 uit 2006 maken hetzelfde onderscheid: bij een tabletop-oefening wordt geen apparatuur ingezet, bij een functionele oefening voeren deelnemers hun taken echt uit.
🔄 Wat is het verschil met een pentest en een red team?
Een pentest beantwoordt de vraag “kan een aanvaller binnenkomen?”, een threat simulation de vraag “werkt onze beveiliging als hij binnen is?“. Een red team-test is één vorm van threat simulation, maar niet de enige.
| Kenmerk | Pentest | Red team-test | Threat simulation (breed) |
|---|---|---|---|
| Doel | Zoveel mogelijk kwetsbaarheden vinden | Bewijzen dat een doel bereikt kan worden | Detectie, respons en samenwerking toetsen |
| Verdediging op de hoogte | Meestal wel | Nee, alleen een klein controleteam | Afhankelijk van de vorm |
| Resultaat | Lijst met kwetsbaarheden | Aanvalspad en gemiste detecties | Verbeterpunten in mensen, proces en techniek |
| Meetbaar via | Ernst van bevindingen | Doel bereikt of niet | Detectietijd, MTTR, dekking van technieken |
Threat simulations brengen zo zwakke plekken aan het licht die in een audit of pentest onzichtbaar blijven, zoals een alarm dat wel afgaat maar door niemand wordt opgevolgd.
🏭 Hoe past u threat simulations toe in industriële netwerken?
OT-scenario’s richten zich op de route van het kantoornetwerk naar het fysieke proces. Voorbeelden:
- Misbruik van legitieme accounts - een aanvaller logt met gestolen gegevens in op een engineering station en past PLC-logica aan
- Ransomware-verspreiding - versleuteling springt via gedeelde servers over van IT naar het OT-netwerk
- Laterale beweging - test van de segmentatie tussen het SCADA-systeem en het veldniveau (PLC, drives) volgens het Purdue-model
- Living off the land - gebruik van standaard Windows-tools, zoals Volt Typhoon dat doet, om te zien of logging en alerting in de SIEM dit oppikken
- Procesmanipulatie via Modbus - een scenario gebaseerd op FrostyGoop, dat in januari 2024 in Lviv ruim 600 flatgebouwen zonder verwarming zette
- Escalatie tussen IT en OT - wie besluit om een installatie stil te leggen, en hoe snel komt die beslissing tot stand?
In OT-context worden live simulaties vrijwel altijd uitgevoerd op een offline testopstelling, een digital twin of met read-only monitoring op de productieomgeving. Sinds september 2023 bestaat Caldera for OT, open-source plugins van MITRE en CISA die MITRE ATT&CK for ICS-technieken uitvoeren via BACnet, Modbus en DNP3; later kwamen IEC 61850 en PROFINET erbij.
🔧 Hoe zet u een OT-threat simulation stap voor stap op?
- Kies een realistisch scenario - begin bij de cyber kill chain of de ICS-matrix en bij incidenten in uw eigen sector, niet bij het spectaculairste aanvalsverhaal
- Leg de rules of engagement vast - welke systemen zijn in scope, welke zijn verboden terrein (altijd het SIS), wie mag de oefening stoppen en via welk codewoord?
- Stem af met de proceseigenaar - een procesingenieur hoort bij elke live oefening, en onderhoudsstops zijn het veiligste moment
- Zorg voor een afbreekprocedure - het incident response plan voorkomt geen verstoring; een vooraf afgesproken stopcriterium wel
- Meet de verdediging - leg per techniek vast of NDR, EDR of de OT-IDS alarmeerde, en hoeveel tijd er zat tussen actie en detectie
- Leg alles vast - registreer elke stap in een logboek en houd de SIEM-data apart, zodat een echte aanval niet als oefening wordt weggezet; SOAR-playbooks kunnen tijdens de oefening worden getest
- Debrief binnen een week - vertaal de bevindingen naar concrete acties met een eigenaar, en herhaal het scenario na de verbeteringen
Een gangbare kadans is een tabletop-oefening per jaar voor het management en de crisisorganisatie, plus een of meer technische oefeningen per jaar voor het SOC en de OT-beheerders.
🧱 Welke regels en kaders spelen een rol in Nederland en de EU?
- NIS2 en de Cyberbeveiligingswet - artikel 21 van NIS2 vraagt beleid en procedures om de effectiviteit van beveiligingsmaatregelen te beoordelen; oefenen is de meest directe manier om dat aan te tonen. De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden.
- IEC 62443 - vraagt in IEC 62443-3-3 onder meer om verificatie van beveiligingsfuncties (SR 3.3), wat zich goed laat combineren met een gerichte simulatie
- DORA en TIBER-EU - onder DORA, van toepassing sinds 17 januari 2025, moeten aangewezen financiële instellingen minstens eens per drie jaar een threat-led penetration test laten uitvoeren. De technische uitwerking (Gedelegeerde Verordening (EU) 2025/1190, sinds juli 2025 van kracht) schrijft een actieve red team-fase van minimaal twaalf weken voor. TIBER-EU van de ECB (2018, herzien in februari 2025) bouwt voort op het Nederlandse TIBER-NL van De Nederlandsche Bank.
- Nationale oefeningen - het NCSC en de NCTV organiseren de cyberoefening ISIDOOR; aan ISIDOOR IV in november 2023 deden ruim 3.000 deelnemers van 120 organisaties mee
- Internationale voorbeelden - de Noord-Amerikaanse elektriciteitssector oefent elke twee jaar met GridEx; aan GridEx VIII in november 2025 namen meer dan 370 organisaties deel. Locked Shields van het NAVO-kenniscentrum CCDCOE in Tallinn draait sinds 2010.
Oefenen raakt ook aan business continuity en het crisiscommunicatieplan: een goede simulatie test niet alleen de techniek, maar ook wie de pers, de klanten en de toezichthouder informeert.
❓ Veelgestelde vragen
Wat is het verschil tussen een threat simulation en een tabletop-oefening?
Een tabletop-oefening is één vorm van threat simulation, waarin deelnemers een aanvalsscenario aan tafel bespreken zonder systemen aan te raken. Andere threat simulations, zoals purple teaming of een red team-test, voeren aanvalstechnieken echt uit. Veel organisaties beginnen met een tabletop-oefening en stappen daarna over op technische simulaties.
Is een threat simulation in een OT-omgeving veilig?
Een threat simulation in OT is veilig zolang live aanvalstechnieken alleen op een testopstelling of digital twin worden uitgevoerd en de productieomgeving hooguit passief wordt gemonitord. Rules of engagement, een stopcriterium en een procesingenieur bij de oefening zijn daarbij onmisbaar. Veiligheidssystemen zoals het SIS horen altijd buiten scope.
Hoe vaak moet een organisatie threat simulations uitvoeren?
Een gangbare kadans is minstens één tabletop-oefening per jaar en daarnaast een of meer technische threat simulations, plus een extra oefening na grote wijzigingen in het netwerk of de organisatie. Financiële instellingen die onder DORA zijn aangewezen, moeten minstens eens per drie jaar een threat-led penetration test doen. Geautomatiseerde breach and attack simulation kan in IT zelfs doorlopend draaien.
Wat is breach and attack simulation (BAS)?
Breach and attack simulation is software die bekende aanvalstechnieken automatisch en herhaalbaar uitvoert om te controleren of beveiligingsmaatregelen ze tegenhouden of detecteren. BAS vult menselijke red teams aan, omdat het tussen handmatige tests door blijft meten, maar het bedenkt geen nieuwe aanvalspaden. In OT wordt BAS vanwege het risico vrijwel alleen op testopstellingen gebruikt.
Welke tools gebruikt u voor threat simulations?
Voor threat simulations worden vaak MITRE Caldera en Atomic Red Team gebruikt, met de matrices van MITRE ATT&CK en ATT&CK for ICS als gemeenschappelijke taal. Caldera for OT voegt industriële protocollen toe, zoals Modbus, DNP3 en BACnet. Voor tabletop-oefeningen biedt CISA gratis Tabletop Exercise Packages aan, ook met scenario’s voor industriële besturingssystemen.
Wie neemt deel aan een threat simulation?
Aan een threat simulation nemen het blue team of SOC, de OT-beheerders, een procesingenieur en de crisisorganisatie deel, aangevuld met een red team of een externe partij die de aanval uitvoert. Een klein controleteam bewaakt de rules of engagement en kan de oefening stoppen. Bij tabletop-oefeningen zit ook het management aan tafel, omdat daar de besluiten over stilleggen en communicatie vallen.
📌 Samengevat
Threat simulations toetsen of detectie en respons werken door realistische aanvallen gecontroleerd na te bootsen, van een tabletop-oefening aan tafel tot een red team-test of purple teaming op een testopstelling. In OT betekent dat: scenario’s op basis van echte aanvallen, het SIS buiten schot, live technieken alleen in een testomgeving en een debrief die tot concrete verbeteringen leidt.