Een aanval is elke poging om in te breken in een systeem, het te verstoren of te beschadigen. De motivatie varieert. Geld is meestal de drijfveer. Ransomware, het compromitteren van zakelijke e-mailaccounts en het skimmen van creditcards zetten toegang om in geld. Spionage, activisme en pure nieuwsgierigheid vormen de rest. De techniek is minder belangrijk dan het resultaat. Als iemand toegang krijgt die hij niet zou mogen hebben, telt dat mee.

Aanvallen verlopen in fasen. In de verkenningsfase wordt informatie over het doelwit verzameld. In de wapenontwikkelingsfase wordt het instrument gebouwd. De afleveringsfase verstuurt het instrument, vaak via een phishing-e-mail of een gecompromitteerde website. De exploitatie activeert de kwetsbaarheid. De installatie zorgt voor permanente toegang. De command-and-controlfase opent een kanaal naar de aanvaller. Acties op de doelstellingen voeren het doel uit, of dat nu data-exfiltratie, encryptie of sabotage is. Verdedigers die de keten begrijpen, kunnen deze op elk punt doorbreken. Het blokkeren van de phishing-e-mail stopt de aanval voordat deze wordt geëxploiteerd. Het monitoren van uitgaand verkeer detecteert command-and-control-signalen na installatie. Geen enkele beveiligingsmaatregel kan alles stoppen. Gelaagde verdedigingsmechanismen geven tijd.

Veelvoorkomende aanvalscategorieën

• Netwerk — gebruikmaken van blootgestelde diensten en protocollen
• Sociale manipulatie — mensen ertoe bewegen om mee te helpen
• Toeleveringsketen — het compromitteren van betrouwbare software of leveranciers
• Insider — misbruik van rechtmatige toegang door een werknemer of aannemer

De meeste succesvolle aanvallen zijn niet technisch hoogstaand. Ze maken gebruik van onbeveiligde systemen, hergebruikte wachtwoorden en mensen die haast hebben.