Diamond Model

Définition

Le Diamond Model of Intrusion Analysis est un framework analytique développé en 2013 par Sergio Caltagirone, Andrew Pendergast et Christopher Betz pour structurer l'analyse des incidents de sécurité et le renseignement sur les menaces. Son nom provient de la représentation graphique en forme de losange (diamond) illustrant les relations entre quatre fonctionnalités essentielles d'un incident. Les quatre sommets du Diamond Model sont : l'Adversaire (Adversary) — l'acteur de menace ou l'individu responsable de l'intrusion, avec ses motivations, ses capacités et son attribution ; la Capacité (Capability) — l'outil ou la technique utilisé par l'adversaire (malware, exploit, technique d'hameçonnage) ; l'Infrastructure — les ressources techniques utilisées par l'adversaire (serveurs C2, domaines, adresses IP, VPS loués) ; la Victime (Victim) — la cible de l'attaque (individu, organisation, système spécifique). Les edges du Diamond Model représentent les relations entre les sommets : l'adversaire utilise des capacités via son infrastructure pour compromettre une victime. Des meta-features enrichissent le modèle : l'horodatage, la phase de la kill chain, le résultat (succès/échec), la direction (attaque entrante/sortante), et la méthodologie (comment exactement la capacité a été utilisée). La puissance analytique du Diamond Model réside dans sa capacité à pivoter : à partir d'un seul élément connu (une adresse IP C2 découverte lors d'un incident), on peut pivoter pour identifier d'autres éléments (quels autres domaines sont hébergés sur la même IP ? Quels autres malwares utilisent cette infrastructure ?). Ces pivots, réalisés via des bases de données pDNS, Shodan, VirusTotal, et les TIPs, permettent d'étendre considérablement la connaissance d'un adversaire. Le Diamond Model se combine efficacement avec ATT&CK : les capacités dans le Diamond correspondent aux techniques ATT&CK, permettant une documentation granulaire des capacités de l'adversaire dans un cadre analytique cohérent.