Een cyberaanval is zelden één moment. Tussen het eerste contact en de dag waarop de schermen zwart worden, zitten meestal dagen of weken waarin een aanvaller rondkijkt, rechten verzamelt en gegevens wegsluist. Wie die stappen kent, weet ook waar hij ze kan onderbreken.
Twee modellen beschrijven dat verloop: de cyber kill chain van Lockheed Martin en het MITRE ATT&CK-raamwerk. Dit artikel legt beide uit, legt ze op drie Belgische incidenten en zegt eerlijk wat een kmo zonder eigen securityteam eraan heeft.
In het kort
- De cyber kill chain van Lockheed Martin (2011) beschrijft een aanval in zeven opeenvolgende fasen; wie één fase onderbreekt, stopt de aanval.
- MITRE ATT&CK is geen stappenplan maar een catalogus van wat aanvallers doen, sinds versie 19 van april 2026 geordend in vijftien tactieken.
- De kill chain werkt goed om een aanval aan een directie uit te leggen; ATT&CK is het werkinstrument van pentesters, auditors en beheerders.
- Volgens Mandiant bleef een aanvaller in 2025 gemiddeld 14 dagen onopgemerkt binnen, tegenover 11 dagen in 2024.
- Een kmo hoeft niet het hele model af te dekken: drie technieken verklaren een groot deel van de incidenten.
Wat is het verschil tussen de cyber kill chain en MITRE ATT&CK?
De cyber kill chain beschrijft een aanval als een vaste reeks van zeven fasen, van verkenning tot het bereiken van het doel. MITRE ATT&CK is een catalogus van aanvallersgedrag, sinds 2026 geordend in vijftien tactieken met daaronder technieken. De kill chain toont de volgorde; ATT&CK beschrijft wat er in elke stap gebeurt.
De zeven fasen van de cyber kill chain
Het model werd in 2011 gepubliceerd door Eric Hutchins, Michael Cloppert en Rohan Amin van Lockheed Martin. Het idee komt uit de militaire doctrine: een aanvaller moet alle stappen doorlopen, dus volstaat het om er één te breken.
| Fase | Wat de aanvaller doet | Voorbeeld | Wat u kunt opmerken |
|---|---|---|---|
| 1. Verkenning | Informatie verzamelen over de organisatie en de medewerkers | E-mailadressen oogsten via LinkedIn, extern bereikbare systemen scannen | Ongewone scans op uw website en extern bereikbare diensten |
| 2. Bewapening | Een aanvalsmiddel samenstellen | Kwaadaardige code in een factuur-pdf of Word-bestand verwerken | Niets: dit gebeurt volledig bij de aanvaller |
| 3. Aflevering | Het aanvalsmiddel bij het doelwit krijgen | Een gerichte phishingmail met bijlage of link | Meldingen van de e-mailfilter, medewerkers die een verdachte mail melden |
| 4. Uitbuiting | Een zwakte misbruiken om code uit te voeren | Een medewerker opent de bijlage en een ongepatcht lek wordt geactiveerd | Een kantoorprogramma dat plots een opdrachtvenster start |
| 5. Installatie | Blijvende toegang inrichten | Een geplande taak of een extra beheerdersaccount aanmaken | Nieuwe accounts, onbekende programma’s, gewijzigde opstartinstellingen |
| 6. Command & control | Een verbinding naar buiten opzetten om opdrachten te ontvangen | Verkeer dat op gewoon webverkeer lijkt naar een recent geregistreerd domein | Ongewoon uitgaand verkeer naar onbekende domeinen |
| 7. Acties op het doel | Het eigenlijke doel bereiken | Gegevens wegsluizen en daarna bestanden versleutelen | Massaal gewijzigde bestanden, verdwenen herstelpunten, uitval van diensten |
MITRE ATT&CK: tactieken, technieken en procedures
MITRE ATT&CK werkt met drie niveaus, samen afgekort als TTP. Een tactiek is het doel van de aanvaller op dat moment (waarom). Een techniek is de manier waarop hij dat doel bereikt (hoe). Een procedure is de concrete uitvoering door een bepaalde groep, met hun eigen hulpmiddelen en scripts.
Met versie 19, gepubliceerd in april 2026, telt de Enterprise-matrix vijftien tactieken. De vroegere tactiek “Defense Evasion” werd opgesplitst in Stealth (onzichtbaar blijven) en Defense Impairment (beveiliging actief uitschakelen). Op 27 september 2026 is versie 19.2 de actuele.
| Tactiek | ID | Doel van de aanvaller | Voorbeeldtechniek |
|---|---|---|---|
| Reconnaissance | TA0043 | Informatie verzamelen voor een aanval | Identiteitsgegevens van medewerkers verzamelen (T1589) |
| Resource Development | TA0042 | Middelen voor de aanval opbouwen | Servers en domeinnamen verwerven (T1583) |
| Initial Access | TA0001 | Voor het eerst binnenkomen | Een extern bereikbare toepassing misbruiken (T1190) |
| Execution | TA0002 | Code uitvoeren | PowerShell of andere scripttalen gebruiken (T1059) |
| Persistence | TA0003 | Toegang behouden na een herstart | Een geplande taak aanmaken (T1053) |
| Privilege Escalation | TA0004 | Hogere rechten verkrijgen | Gebruikersaccountbeheer omzeilen (T1548) |
| Stealth | TA0005 | Onzichtbaar blijven tussen gewone activiteit | Bestanden vermommen als legitieme software (T1036) |
| Defense Impairment | TA0112 | Beveiliging en logging uitschakelen | Antivirus of back-updiensten stilleggen (T1562) |
| Credential Access | TA0006 | Wachtwoorden en sleutels bemachtigen | Wachtwoordhashes uit het geheugen lezen (T1003) |
| Discovery | TA0007 | De interne omgeving verkennen | Mappen en gedeelde schijven doorzoeken (T1083) |
| Lateral Movement | TA0008 | Zich naar andere systemen verplaatsen | Aanmelden via diensten voor beheer op afstand (T1021) |
| Collection | TA0009 | Interessante gegevens bijeenbrengen | Documenten in archieven verpakken (T1560) |
| Command and Control | TA0011 | Opdrachten op afstand blijven geven | Communiceren via gewoon webverkeer (T1071) |
| Exfiltration | TA0010 | Gegevens naar buiten brengen | Uploaden naar een clouddienst (T1567) |
| Impact | TA0040 | Schade toebrengen | Bestanden versleutelen voor afpersing (T1486) |
De Unified Kill Chain als brug
In 2017 bracht de Nederlandse onderzoeker Paul Pols beide benaderingen samen in de Unified Kill Chain: achttien fasen, verdeeld over binnenkomen, zich binnen de omgeving verplaatsen en het doel bereiken. Het model houdt rekening met iets wat de klassieke kill chain mist: aanvallers springen binnen een omgeving heen en weer tussen systemen voor ze toeslaan.
Hoe verloopt een echte aanval? Drie Belgische dossiers op het model
Hier ligt het verschil tussen theorie en praktijk. Bij de meeste incidenten is maar een deel van de keten publiek bekend. Waar een fase niet bevestigd is, staat dat in de tabel.
| Fase | Limburg.net (13 december 2023) | Stad Antwerpen (5 op 6 december 2022) | Brussels Airport via Collins Aerospace (19 september 2025) |
|---|---|---|---|
| Initial Access | Eerste poging tegengehouden door MFA; daarna binnen via een ander toegangspunt zonder MFA | Niet publiek bevestigd | Niet bij de luchthaven zelf, maar in de systemen van leverancier Collins Aerospace; hoe precies is niet publiek |
| Discovery en Collection | Bijna een maand onopgemerkt; 383.000 bestanden verzameld | Niet publiek bevestigd | Niet publiek bevestigd |
| Exfiltration | Gegevens van 292.734 personen gestolen, waaronder rijksregister- en rekeningnummers | Door de groep Play geclaimd; de omvang is niet onafhankelijk bevestigd | Niet publiek bevestigd |
| Impact | Datadiefstal en afpersing; de intercommunale betaalde niet | Ransomware; dienstverlening wekenlang verstoord, de stad betaalde niet | Ransomware, bevestigd door ENISA; check-in en boarding met de hand, geschrapte vluchten |
Drie lessen springen eruit. Bij Limburg.net hield MFA de eerste poging tegen, maar één toegangspunt zonder MFA volstond. Bij Brussels Airport lag de initiële toegang volledig buiten de eigen organisatie. En bij alle drie is de impactfase de enige die iedereen zag, terwijl de schade in de weken ervoor was voorbereid. Meer context over deze dossiers staat in ons overzicht van cyberaanvallen op Belgische bedrijven en in onze gids over ransomware in België.
Welke technieken komen het vaakst voor?
Volgens het Verizon Data Breach Investigations Report 2026 was het misbruik van kwetsbaarheden in extern bereikbare systemen (T1190) met 31 procent voor het eerst de belangrijkste eerste toegangsweg, vóór het gebruik van gestolen inloggegevens (T1078) met 13 procent. In België was accountovername met 144 dossiers de grootste incidentcategorie bij het Centrum voor Cybersecurity België in 2025, gevolgd door 105 ransomware-incidenten.
De tijd die aanvallers ongezien binnen blijven, liep weer op. Mandiant meldt in M-Trends 2026 een mediane verblijftijd van 14 dagen in 2025, tegenover 11 dagen in 2024. Dat zijn twee weken waarin de fasen van verkenning tot verzameling ongestoord kunnen verlopen, en waarin ze ook ontdekt kunnen worden.
Wat heeft een kmo zonder eigen securityteam aan deze modellen?
Beheerders op fora als r/sysadmin noemen de ATT&CK-matrix vaak overweldigend, en terecht. Een kmo hoeft niet elke techniek te evalueren. Het nut zit op drie plaatsen.
- Prioriteit leggen. Drie technieken verklaren een groot deel van de incidenten: misbruik van extern bereikbare systemen (T1190), gebruik van geldige accounts (T1078) en phishing (T1566). Patchbeleid, meervoudige authenticatie op elke toegang en awarenesstraining dekken ze af.
- Testen laten aansluiten op echte aanvallen. Bij een penetratietest bouwen ethische hackers hun scenario op rond ATT&CK-technieken en rapporteren ze welke stappen lukten en waar ze werden tegengehouden. Hoe een red team daar verder in gaat dan een klassieke pentest, leest u in red teaming versus pentest.
- Maatregelen koppelen aan CyberFundamentals. Het CyberFundamentals-kader van het CCB beschrijft welke maatregelen u neemt; ATT&CK beschrijft waartegen ze moeten werken. CyFun 2025, gepubliceerd in oktober 2025, volgt de zes functies van het NIST Cybersecurity Framework 2.0. Wie wil nagaan welke dreigingen voor een eigen systeem gelden, vindt de methode in ons artikel over threat modeling.
“De kill chain is achterhaald, aanvallers loggen gewoon in”
Dat verwijt heeft een kern van waarheid. Wie met gestolen inloggegevens aanmeldt op Microsoft 365, slaat bewapening, uitbuiting en installatie gewoon over. Maar een geslaagde aanmelding is zelden het einde. De aanvaller moet daarna nog verkennen, rechten verhogen en gegevens verzamelen, en die stappen volgen nog altijd een keten die ontdekt kan worden. Bovendien zijn de gestolen inloggegevens zelf het resultaat van een eerdere keten, zoals een infostealer op een thuis-pc. De schakels zijn veranderd, het principe niet. En modellen als ATT&CK en de Unified Kill Chain nemen identiteitsmisbruik intussen volledig mee.
Waar zou een aanvaller bij u binnenkomen?
De eerste fasen van elke keten spelen zich af aan de buitenkant: welke systemen zijn vanaf het internet zichtbaar, welke accounts hebben geen tweede factor, welke software is niet bijgewerkt. Cyberplan brengt dat met een gratis scan in kaart, zodat u weet waar een aanval bij u zou beginnen voordat iemand anders het uitzoekt.
Veelgestelde vragen
Wat zijn de zeven fasen van de cyber kill chain?
De cyber kill chain van Lockheed Martin telt zeven fasen: verkenning, bewapening, aflevering, uitbuiting, installatie, command and control, en acties op het doel. Het model gaat ervan uit dat een aanvaller alle fasen moet doorlopen, zodat het onderbreken van één fase de hele aanval stopt.
Hoeveel tactieken telt MITRE ATT&CK?
Sinds versie 19 van april 2026 telt de Enterprise-matrix van MITRE ATT&CK vijftien tactieken. De tactiek Defense Evasion werd toen opgesplitst in Stealth, gericht op onzichtbaar blijven, en Defense Impairment, gericht op het uitschakelen van beveiliging. Op 27 september 2026 is versie 19.2 de actuele versie.
Waar staat TTP voor?
TTP staat voor tactics, techniques and procedures. De tactiek is het doel van de aanvaller, zoals binnenkomen of gegevens stelen. De techniek is de manier waarop, zoals phishing. De procedure is de concrete uitvoering door een bepaalde groep, met eigen hulpmiddelen en scripts.
Heeft een kmo zonder securityteam iets aan MITRE ATT&CK?
Ja, als denkkader en niet als dagelijks detectie-instrument. Het helpt om prioriteit te leggen bij de technieken die het vaakst voorkomen, zoals misbruik van extern bereikbare systemen, gestolen accounts en phishing, en om pentesten en audits te laten aansluiten op echte aanvallen.
Wat is de Unified Kill Chain?
De Unified Kill Chain werd in 2017 ontwikkeld door de Nederlandse onderzoeker Paul Pols. Ze combineert de fasen van de klassieke kill chain met het detail van MITRE ATT&CK in achttien fasen, en houdt er rekening mee dat aanvallers binnen een omgeving heen en weer springen tussen systemen.
Hoe lang blijft een aanvaller gemiddeld onopgemerkt?
Volgens het M-Trends 2026-rapport van Mandiant bedroeg de mediane verblijftijd van een aanvaller in 2025 wereldwijd 14 dagen, tegenover 11 dagen in 2024. In die periode kunnen verkenning, het verzamelen van rechten en het wegsluizen van gegevens plaatsvinden, maar ook ontdekt worden.
