MITRE ATT&CK uitgelegd voor SOC-analisten en threat hunters

Wat is MITRE ATT&CK?

MITRE ATT&CK is een wereldwijd toegankelijke kennisbank van tactieken en technieken van aanvallers, gebaseerd op waarnemingen uit de praktijk. Het staat open voor elke persoon of organisatie en is zonder kosten te gebruiken, met inachtneming van de gebruiksvoorwaarden. MITRE begon ATT&CK in 2013, om veelvoorkomende tactieken, technieken en procedures (TTP's) vast te leggen die advanced persistent threats gebruiken tegen Windows-bedrijfsnetwerken.

ATT&CK diende ook als gemeenschappelijke taal voor aanval en verdediging. ATT&CK beschrijft gedrag van aanvallers, geen kwetsbaarheden. Een CVE zegt dat een product een fout heeft. ATT&CK zegt wat een aanvaller probeert te doen, en hoe.

De kennisbank kent drie domeinen: Enterprise, Mobile en ICS. Dit artikel gaat over Enterprise. Die matrix beslaat onder meer Windows, macOS, Linux, Office Suite, Identity Provider, SaaS, IaaS, netwerkapparaten, containers en ESXi. De informatie komt vooral uit publiek beschikbare threat intelligence en incidentrapportage, waaruit MITRE veelvoorkomende TTP's destilleert.

Hoe is ATT&CK opgebouwd?

ATT&CK werkt met tactieken, technieken, sub-technieken en procedures. Een tactiek is het waarom: het doel van de aanvaller, zoals toegang tot inloggegevens (Credential Access). Een techniek is het hoe: de manier waarop de aanvaller dat doel probeert te halen, zoals inloggegevens uitlezen, ook wel dumpen genoemd.

Een sub-techniek beschrijft dat gedrag specifieker. Een procedure is de concrete uitvoering door een aanvaller. ATT&CK legt procedures vast als gebruik dat in het wild is waargenomen, onder "Procedure Examples" op de techniekpagina's.

Elke techniek heeft een ID. T1566 is Phishing, met de tactiek Initial Access en de sub-technieken T1566.001 en T1566.002. T1059.001 is PowerShell, een sub-techniek van Command and Scripting Interpreter (T1059) in de tactiek Execution. Het ID zet je in een ticket of rapport, zodat iedereen weet over welk gedrag het gaat.

Naast tactieken en technieken bevat ATT&CK ook groepen, campagnes, software en mitigaties. Een groep is een activiteitencluster dat in de security community onder een gemeenschappelijke naam wordt gevolgd. Een groep kan meerdere namen hebben, omdat organisaties dezelfde activiteit onder verschillende namen volgen. Een campagne is een groepering van inbraakactiviteit. Software is de code of tooling die gebruikt wordt om gedrag uit ATT&CK uit te voeren, van aangepaste of commerciële code tot besturingssysteemprogramma's en open-sourcesoftware. Een mitigatie is een beveiligingsconcept of klasse van technologie die kan voorkomen dat een techniek of sub-techniek slaagt.

Versie 20 telt voor de Enterprise-matrix 15 tactieken, 227 technieken en 479 sub-technieken.

Welke tactieken heeft de Enterprise-matrix?

De Enterprise-matrix telt in versie 20 vijftien tactieken. De tabel toont ze in de volgorde van MITRE's lijst, met wat de aanvaller probeert en wat een SOC erbij kan zoeken. De voorbeelden in de derde kolom zijn geen volledige lijst.

De tactieken zijn niet geordend, dus de volgorde in de tabel is geen aanvalsvolgorde. Een aanvaller hoeft ze ook niet allemaal in één inbraak te gebruiken, omdat zijn doelen tijdens een operatie veranderen.

Wat veranderde er in ATT&CK versie 19 en 20?

In de release van april 2026 verscheen versie 19. Die splitste de Enterprise-tactiek Defense Evasion in twee tactieken: Stealth en Defense Impairment. MITRE publiceerde een blogpost met richtlijnen voor de overgang naar de nieuwe tactieken.

Versie 20 volgde in oktober 2026 en werkt technieken, groepen, campagnes en software bij voor Enterprise, Mobile en ICS. Volgens de versiegeschiedenis is v20.0 sinds 13 oktober 2026 de huidige versie. Daarvoor stonden v19.2 (28 april 2026), v18.1 (28 oktober 2025) en v17.1 (22 april 2025) op de lijst. De FAQ schrijft dat ATT&CK twee keer per jaar wordt bijgewerkt. Het versienummer heeft een major.minor-opbouw: grote releases verhogen het major-nummer, kleine releases met correcties het minor-nummer.

Oudere rapporten, dashboards en detectieregels kunnen nog "Defense Evasion" noemen. Leg die naast de nieuwe tactieken, en noem in elk rapport de versie die je gebruikt. Zo blijft duidelijk waar een cijfer of een regel vandaan komt.

Hoe gebruikt een SOC ATT&CK?

Een SOC gebruikt ATT&CK om meldingen te labelen, dekking in kaart te brengen en incidenten te beschrijven. Meldingen komen bijvoorbeeld uit een SIEM. Het bredere werk staat onder security operations en security monitoring.

Detection strategies zijn volgens MITRE benaderingen op hoog niveau om specifieke technieken van aanvallers te detecteren. Ze ordenen meerdere platformspecifieke analytics tot één samenhangende detectiemethode. Analytics bevatten de platformspecifieke detectielogica, dus de uitwerking van de strategie. Voor Enterprise telt versie 20 703 detection strategies en 1770 analytics. Detection engineers kunnen hun eigen regels naast deze uitwerkingen leggen.

De ATT&CK Navigator is een webtool om matrices te annoteren en te verkennen. Je kunt er de technieken in kleuren waarvoor je detecties hebt, en MITRE noemt ook het plannen van red- en blue-team-activiteiten en het weergeven van hoe vaak technieken zijn gedetecteerd. MITRE schrijft dat ATT&CK op verschillende manieren kan helpen bij security operations, threat intelligence en security architecture.

Een voorbeeld, fictief: een SOC-analist krijgt een alert over een PowerShell-proces met ongebruikelijke parameters op een werkplek. Ze zoekt de techniek op: T1059.001 PowerShell, tactiek Execution. Ze noteert dat in het ticket. Daarna stelt ze vragen die de tactiekenlijst oproept. Hoe kwam dit proces hier? Misschien via een phishingmail (T1566, Initial Access), maar dat moet ze eerst bewijzen. Wat kan er hierna gebeuren, zoals inloggegevens uitlezen (Credential Access) of verplaatsen naar andere systemen (Lateral Movement)? Dat is geen vaste volgorde. Het geeft haar wel een lijst met plekken om te zoeken.

Blijkt het een echt incident, dan beschrijft ze het met dezelfde namen, zodat de incidentafhandeling en het verslag over hetzelfde gedrag gaan.

Hoe gebruiken threat hunters ATT&CK?

Een threat hunter zoekt actief naar aanvallers die nog geen melding hebben gegeven. Daarvoor gebruikt hij de groepen, campagnes en software uit ATT&CK, en de procedure-voorbeelden die laten zien welk gedrag in de praktijk is gezien. Een groep in ATT&CK is een cluster met een naam, geen bevestigde identiteit. Trek daar geen conclusies over wie achter een aanval zit. Voor de bredere context van groepen en rapportage helpt threat intelligence uitgelegd.

Ook hier een fictief voorbeeld. Een threat hunter wil weten of er in de eigen omgeving inloggegevens uit het geheugen van processen worden gelezen. Hij kiest T1003.001 LSASS Memory, een sub-techniek van OS Credential Dumping in de tactiek Credential Access, en leest de techniekpagina inclusief de procedure-voorbeelden. Daaruit formuleert hij een hypothese: "Alleen een kleine, bekende set processen hoort bij LSASS te komen; alles daarbuiten is verdacht."

Daarna zoekt hij in de beschikbare logs en in endpointgegevens naar processen die daarvan afwijken. Wat endpointgegevens zijn en welke tools ze leveren, staat in EDR en XDR uitgelegd. Vindt hij niets, dan legt hij vast welke gegevens hij gebruikte en waar de zichtbaarheid ontbreekt. Dat is ook een resultaat. Het is geen volledige detectie, want het zegt alleen wat de gebruikte gegevens lieten zien.

Wat kan ATT&CK niet?

ATT&CK vult de Lockheed Martin Cyber Kill Chain aan en vervangt die niet. De kill chain gebruikt geordende fasen voor doelen op hoog niveau, terwijl ATT&CK gedrag op een lager niveau beschrijft. Het Diamond Model helpt bij het clusteren van inbraken en is eveneens een aanvulling op ATT&CK.

De informatie komt uit publieke bronnen. MITRE kan niet alle rapportage over groepen opnemen, dus ATT&CK is geen volledige lijst van wat aanvallers doen.

Een gekleurde matrix voelt als een score, maar dat is hij niet. Dekking zegt niets over de kwaliteit van een detectie: een techniek die je afdekt, kan toch gemist worden, en een lege cel zegt niet hoe groot het risico is. Gebruik de matrix om vragen te stellen: waar kijken we niet, en waarom?

Welke rollen werken met ATT&CK?

• SOC-analist. Je gebruikt technieken om alerts te duiden en incidenten te beschrijven. Zie de vacatures voor SOC-analisten en de rolgids.
• Threat hunter. Je gebruikt technieken, groepen en software om hypotheses te formuleren. Zie de vacatures voor threat hunters en de rolgids.
• Detection engineer. Je schrijft en ordent detecties per techniek. Zie de vacatures voor detection engineers en de rolgids.
• SIEM-engineer. Je zorgt dat de logbronnen er zijn waarmee detecties draaien. Zie de vacatures voor SIEM-engineers.
• Red team specialist. Je gebruikt technieken om een oefening te structureren. De blue team-kant ziet dan dezelfde taal terug. Zie de vacatures voor red team specialists en het artikel over blue team, red team en purple team.

Buiten SOC en hunting komt dezelfde taal terug bij threat modelling, waar aanvalsgedrag helpt bij het doordenken van systemen. Op de werkgeverspagina voor SOC-analisten zie je welke werkgevers deze functie hebben.

Wie ATT&CK kent, kan dat laten zien met een eigen voorbeeld in een portfolio of in een gesprek. Een regel "kennis van MITRE ATT&CK" op een cv zegt weinig. Meer over het werk in dit vakgebied vind je in de kennisbank.