MITRE ATT&CK

Wat is MITRE ATT&CK?

MITRE ATT&CK, uitgesproken als mitre attack, beschrijft wat aanvallers doen nadat ze een organisatie in het vizier hebben. MITRE omschrijft ATT&CK op attack.mitre.org als een wereldwijd toegankelijke kennisbank van tactieken en technieken van aanvallers, gebaseerd op waarnemingen uit de praktijk. MITRE begon in 2013 met ATT&CK om vast te leggen welke TTP’s (tactics, techniques and procedures) geavanceerde aanvallers gebruiken tegen Windows-netwerken.

De kennisbank is opgebouwd in lagen:

Laag	Betekenis	Voorbeeld
Tactic	Het waarom: het doel van de aanvaller	Credential Access (inloggegevens stelen)
Technique	Het hoe: de manier om dat doel te bereiken	T1110 Brute Force
Sub-technique	Een specifiekere variant van een techniek	T1110.003 Password Spraying
Procedure	Hoe een specifieke aanvaller de techniek toepast	Een groep die gelekte wachtwoorden over veel accounts verspreidt

Er zijn 3 matrices: Enterprise (bedrijfsnetwerken en cloud), Mobile en ICS (industriële besturingssystemen). ATT&CK beschrijft ook bekende aanvalsgroepen, de threat actors, met de technieken die ze gebruiken. De informatie komt volgens MITRE vooral uit openbare threat intelligence en incidentrapporten.

Hoe werkt MITRE ATT&CK?

De Enterprise-matrix zet de tactieken naast elkaar in de volgorde van een typische aanval. Onder elke tactiek staan de technieken. In versie 19.2, geldig sinds 28 april 2026, telt de Enterprise-matrix 15 tactieken, 222 technieken en 475 subtechnieken (bron: MITRE ATT&CK, 2026). MITRE brengt 2 keer per jaar een nieuwe versie uit.

De 15 tactieken in de Enterprise-matrix:

1. Reconnaissance: informatie verzamelen om een aanval te plannen.
2. Resource Development: middelen opbouwen, zoals servers en accounts.
3. Initial Access: binnenkomen in het netwerk.
4. Execution: kwaadaardige code uitvoeren.
5. Persistence: toegang behouden.
6. Privilege Escalation: hogere rechten krijgen.
7. Stealth: acties verbergen, zodat ze op normaal gedrag lijken.
8. Defense Impairment: beveiliging en monitoring onklaar maken.
9. Credential Access: accountnamen en wachtwoorden stelen.
10. Discovery: de omgeving verkennen.
11. Lateral Movement: zich door het netwerk verplaatsen.
12. Collection: interessante gegevens verzamelen.
13. Command and Control: contact houden met gecompromitteerde systemen.
14. Exfiltration: gegevens wegsluizen.
15. Impact: systemen en gegevens manipuleren, verstoren of vernietigen.

Elke techniek heeft een vaste code, zoals T1078 voor het misbruik van geldige accounts. Daardoor kunnen organisaties, leveranciers en overheden precies dezelfde techniek aanwijzen, ook als ze verschillende namen voor een aanvalsgroep gebruiken. ATT&CK is volgens MITRE voor iedereen gratis te gebruiken.

Voorbeeld uit de praktijk

Op 27 mei 2025 publiceerden de AIVD en de MIVD een advies over Laundry Bear, een zeer waarschijnlijk Russische staatsgesteunde cyberactor die in september 2024 de Nederlandse politie aanviel. Om de werkwijze te delen, gebruikten de diensten het MITRE ATT&CK-raamwerk (bron: AIVD en MIVD, 2025). Het advies noemt 8 technieken, waaronder:

Tactiek	Code	Techniek
Initial Access	T1078	Valid accounts (geldige accounts misbruiken)
Credential Access	T1539	Steal web session cookie
Credential Access	T1110.003	Password spraying
Collection	T1114.002	Remote email collection

Bij elke techniek gaven de diensten maatregelen, zoals het principe van minimale rechten. Een organisatie kan zo’n lijst direct naast de eigen detectie leggen: welke van deze technieken zien we, en welke niet?

MITRE ATT&CK in de praktijk van een security-professional

Een SOC-analist koppelt meldingen aan ATT&CK-technieken, zodat duidelijk is in welke fase een aanval zit. Een detectie-engineer gebruikt de matrix als checklist: voor welke technieken hebben we detectieregels in de SOC, en waar zitten gaten?

Een pentester of red team bootst technieken uit ATT&CK na en rapporteert welke het blue team opmerkte. Een threat intelligence-analist beschrijft aanvalsgroepen in ATT&CK-codes, zodat collega’s direct zien welke maatregelen helpen. Wie het framework wil leren gebruiken, vindt het in opleidingen cybersecurity en ethical hacking.

Veelgestelde vragen

Wat is het MITRE ATT&CK framework?

Het MITRE ATT&CK framework is een openbare kennisbank die beschrijft welke tactieken en technieken aanvallers in de praktijk gebruiken. De Amerikaanse organisatie MITRE begon er in 2013 mee. Het framework ordent aanvalsgedrag in tactieken (het doel), technieken (de manier) en procedures (de precieze uitvoering door een groep).

Welke tactieken staan in MITRE ATT&CK?

De Enterprise-matrix telt in versie 19.2 15 tactieken: Reconnaissance, Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Stealth, Defense Impairment, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration en Impact. Ze volgen grofweg de volgorde van een aanval.

Is MITRE ATT&CK gratis?

Ja. Volgens MITRE is ATT&CK open en voor iedere persoon of organisatie gratis te gebruiken, ook in eigen producten en diensten, zolang de gebruiksvoorwaarden worden gevolgd. De volledige kennisbank staat op attack.mitre.org. MITRE brengt 2 keer per jaar een nieuwe versie uit.

Hoe gebruik je MITRE ATT&CK in een SOC?

Een SOC koppelt detectieregels en meldingen aan ATT&CK-technieken. Zo ziet het team welke technieken het kan detecteren en waar gaten zitten. Bij een incident helpt de koppeling om te bepalen in welke fase de aanval zit, bijvoorbeeld of de aanvaller al gegevens verzamelt of alleen nog toegang zoekt.