Stop met het tellen van MITRE-technieken. Begin met het sluiten van de voordeur.

Een paar weken geleden zat ik bij de afstudeerpresentatie van een hbo-student Software Development. Het werk was goed, maar één moment in zijn verhaal is me sindsdien bijgebleven. Hij had een studie uit 2024 van NC State University gelezen en stelde de zaal een vraag die ik niet meer kwijt kan: als aanvallers keer op keer teruggrijpen naar dezelfde kleine set technieken, waarom blijft onze hele industrie dan iets anders meten?

Het is een terechte vraag, en hoe langer ik erover nadacht, hoe ongemakkelijker ze werd. Want het eerlijke antwoord is dat we het verkeerde meten, dat we het slecht meten, en dat we het resultaat verkopen als geruststelling.

Het arsenaal is kleiner dan de marketing doet vermoeden

De studie in kwestie, “Attackers reveal their arsenal” van Rahman, Basak, Mahdavi Hezaveh en Williams, deed iets verfrissend concreets. De onderzoekers namen 667 cyber threat intelligence-rapporten die MITRE ATT&CK aanhaalt, goed voor meer dan tienduizend gedocumenteerde technieken, en onderzochten welke daarvan daadwerkelijk terugkeren.

Het antwoord is ontnuchterend voor iedereen die aanvallers ziet als eindeloos vindingrijk. De onderzoekers identificeerden negentien veelvoorkomende technieken die samen goed zijn voor meer dan een derde van alles wat gedocumenteerd is. Niet één van die veelvoorkomende technieken vertoonde een dalende trend. Het populaire beeld van de aanvaller als rusteloze vernieuwer, die voortdurend nieuwe methoden bedenkt, houdt geen stand tegenover het bewijs. Aanvallers zijn gewoontedieren. Ze hergebruiken wat werkt, want wat werkt blijft werken.

Je zou denken dat dit goed nieuws is voor verdedigers. Een klein, stabiel arsenaal klinkt als een probleem dat je kunt overzien. En toch heeft de industrie hierop gereageerd door er een hele marketingtaal omheen te bouwen die draait om het dekken van alles.

Waarom verkoopt elke leverancier je dan “100% MITRE-dekking”?

Dit is de vraag die een CISO zich echt stelt, meestal ergens tussen de tweede en derde leveranciersdemo. Elk product claimt uitgebreide MITRE ATT&CK-dekking. Elke heatmap gloeit geruststellend groen. En bijna niets daarvan betekent wat de koper denkt dat het betekent.

Onafhankelijke analyse wijst uit dat traditionele SIEM-systemen gemiddeld slechts zo’n 21 procent van de ATT&CK-technieken detecteren, en dat veel van de opvallende dekkingsclaims uitgaan van endpoint-gerichte tests in plaats van de cloud-, identiteits- en SaaS-omgevingen waar zich tegenwoordig zoveel inbraken afspelen. Het getal op de slide en de bescherming in de praktijk zijn niet hetzelfde.

Dekking is makkelijk te verkopen omdat hij makkelijk te tekenen is. Een matrix waarvan de meeste vakjes zijn ingevuld oogt als competentie. Voorkomen dat een aanvaller ooit door de voordeur komt, is daarentegen onzichtbaar. Niemand fotografeert het datalek dat niet gebeurd is. Zo zijn we uitgekomen bij het belonen van de metriek die goed demo’t, boven de uitkomst die de organisatie daadwerkelijk beschermt. Dat is dekkingstheater, en we betalen er allemaal kaartjes voor.

De wreedste paradox: de meest voorkomende technieken zijn het lastigst te vangen

Hier wordt de NC State-studie echt ongemakkelijk. De onderzoekers merken op dat de meest voorkomende technieken er onschuldig uitzien wanneer je ze afzonderlijk bekijkt. Systeeminformatie verzamelen, een command shell uitvoeren, een bestand overzetten: elk van deze acties is niet te onderscheiden van gewone, legitieme systeemactiviteit. Ze worden pas een aanval als je ze in samenhang ziet, en dan zit de actor al binnen.

Dit is geen theoretische zorg. In de MITRE ATT&CK Evaluations van 2025 moest een van de testscenario’s worden geschrapt omdat de evaluatoren niet betrouwbaar onderscheid konden maken tussen de op legitiem lijkende beheeracties van de aanvaller en echte, zo rapporteerde Forrester achteraf. Lees dat nog eens. MITRE zelf, dat een gecontroleerde test uitvoerde met volledige kennis van wat de aanvaller deed, kon voor deze technieken kwaadaardig gedrag niet zuiver onderscheiden van legitiem gedrag.

De technieken die aanvallers het vaakst gebruiken, zijn dus precies de technieken die zich het meest aan detectie onttrekken. De dekkingsheatmap belooft ze te vangen. Het bewijs zegt dat zelfs de mensen die het framework ontworpen hebben, daar moeite mee hebben. We meten niet alleen het verkeerde; we claimen zekerheid over precies het deel van het probleem dat die zekerheid het minst verdient.

Een eerlijke bekentenis, ook over mijn eigen platform

Op dit punt vraagt eerlijkheid dat ik de lens op mezelf richt. Guardian360 ontwikkelt het Lighthouse-platform, dat continue kwetsbaarhedenscans doet, compliance-aanbevelingen geeft tegen meer dan veertig normen en wetten, inzicht biedt in de beveiliging van Microsoft 365, en indringers detecteert. Als je de negentien veelvoorkomende technieken uit de studie neemt en vraagt hoeveel daarvan ons platform voorkomt of betrouwbaar detecteert, is het eerlijke antwoord: heel weinig direct. Het grootste deel van dat arsenaal is post-exploitatiegedrag op het endpoint, en dat is niet waar een platform voor kwetsbaarheden en compliance op gebouwd is om naar te kijken.

Ik zou dat mooier kunnen laten klinken. Dat doe ik niet. En hier is het punt dat ertoe doet: geen enkele leverancier kan eerlijk beweren de hele keten te dekken. Degenen die je een volledig groene matrix laten zien, zijn niet capabeler dan de rest van ons. Ze zijn alleen minder open over waar hun product ophoudt. Een koper is veel beter geholpen door een leverancier die gewoon zegt wat het wel doet, wat het niet doet, en waar iemand anders nodig is, dan door een leverancier die elk vakje heeft ingekleurd en hoopt dat je geen lastige vragen stelt.

Waar het spel echt gewonnen wordt: de voordeur

Als de veelvoorkomende technieken vooral dingen zijn die aanvallers doen nadat ze al binnen zijn, dan is de voor de hand liggende vraag hoe ze om te beginnen naar binnen kwamen. En daarover zijn de cijfers ongewoon duidelijk.

Volgens het Verizon 2025 Data Breach Investigations Report is het misbruiken van kwetsbaarheden opgeschoven naar de tweede plek onder de initiële toegangsvectoren, aanwezig bij 20 procent van de datalekken en 34 procent hoger dan het jaar ervoor. Gestolen inloggegevens zijn goed voor 22 procent, en phishing zit rond de 15 procent. De twee of drie manieren waarop aanvallers daadwerkelijk binnenkomen, staan allemaal vooraan in de keten, niet verstopt in de post-exploitatietechnieken die de heatmaps vullen. De studie zelf komt vanuit de andere richting tot dezelfde conclusie, en noemt spear-phishing als de meest voorkomende route naar de eerste infectie.

Hier verdient verdedigingsinspanning zichzelf terug. Patch de dingen die naar het internet gekeerd staan, vooral de edge-apparaten en VPN’s die aanvallers nu al raken voordat de patch is uitgerold. Dicht de gaten in inloggegevens. En wees over phishing eerlijk over wat training wel en niet kan. Datzelfde Verizon-rapport ontdekte dat training het klikpercentage nauwelijks beïnvloedt, dat hardnekkig rond de 1,5 procent blijft hangen, maar dat getrainde medewerkers verdachte mail ongeveer vier keer vaker melden. Je traint mensen niet onklikbaar. Je kunt ze wel omvormen tot een snel menselijk sensornetwerk. Dat is een ander en veel haalbaarder doel.

Niets hiervan vraagt om een muur van groene vakjes. Het vraagt om de beslissing dat aanvallers buiten houden meer waard is dan achteraf, in het vocabulaire van MITRE, precies kunnen beschrijven hoe ze zich bewogen zodra ze binnen waren.

De vraag die je de volgende keer moet stellen

Ik beweer niet dat detectie er niet toe doet. Assume-breach-denken bestaat om een goede reden: preventie lekt, en een volwassen organisatie moet de indringer kunnen zien die er toch doorheen komt. Maar “assume breach” is stilletjes een vrijbrief geworden om te weinig te investeren in het voorkomen van een inbraak, en de dekkingsheatmap is het rekwisiet dat dat verantwoord doet aanvoelen.

Dus de volgende keer dat een leverancier je een MITRE-matrix laat zien, vraag dan niet hoeveel technieken ze detecteren. Vraag welke ze voorkomen, vraag wat ze eerlijk gezegd niet kunnen, en vraag waar jouw voordeur nog wagenwijd openstaat. Het arsenaal is klein en voorspelbaar. Onze verdediging moet beginnen waar de aanvaller begint.

Bronnen

• Rahman, Basak, Mahdavi Hezaveh & Williams (NC State University, 2024), “Attackers reveal their arsenal: An investigation of adversarial techniques in CTI reports”. https://arxiv.org/abs/2401.01865
• Verizon 2025 Data Breach Investigations Report, voor de initiële toegangsvectoren (misbruik van kwetsbaarheden 20%, gestolen inloggegevens 22%, phishing rond de 15%) en de cijfers over het melden na training.
• Forrester (2025), analyse van de MITRE ATT&CK Evaluations 2025, over het scenario dat werd geschrapt omdat legitieme en kwaadaardige beheeracties niet betrouwbaar te onderscheiden waren.
• Mitiga, voor het onafhankelijke cijfer dat traditionele SIEM-systemen gemiddeld ruim 21% van de ATT&CK-technieken detecteren, en de kritiek op endpoint-gerichte “100% dekking”-claims.
• MITRE ATT&CK Evaluations, als neutrale referentie voor wat de evaluatie wel en niet is.