Diamond Model of Intrusion Analysis

Nota do capítulo 04 (Modelos e Frameworks para CTI).
Apresenta o Diamond Model: o evento com quatro vértices, os axiomas e meta-features, o encadeamento de eventos em activity-threads e o uso do modelo para pivoting e clustering na análise diária.
Dialoga com o MITRE ATT&CK, com a Pirâmide de Dor e com a nota de Pivoting e Correlação de Infraestrutura.

1. Contexto e Posicionamento na Biblioteca

O Diamond Model of Intrusion Analysis foi publicado em 2013 por Sergio Caltagirone, Andrew Pendergast e Christopher Betz com um objetivo declarado: dar à análise de intrusão uma base científica, com vocabulário comum, hipóteses testáveis e relações que possam ser verificadas. Enquanto relatórios operam em narrativa e ferramentas operam em tabelas, o Diamond propõe a unidade mínima de análise, o evento, estruturada de forma que cada observação ganhe endereço preciso no conhecimento da intrusão e que cada relação entre observações seja explícita.

Para a biblioteca, o modelo é o elo entre os capítulos. As notas de infraestrutura do capítulo 03 produzem objetos, como domínio, IP, certificado e hash, e o Diamond define onde cada objeto se encaixa e qual pergunta ele responde. O MITRE ATT&CK, descrito na nota anterior, fornece o vocabulário do vértice de capacidade, e a nota de Pivoting fornece a mecânica de expansão que o Diamond fundamenta logicamente. Na prática de mercado, plataformas como o OpenCTI implementam relações com essa mesma semântica, e o analista que domina o modelo lê qualquer grafo de inteligência com mais clareza.

2. O Evento Fundamental e os Quatro Vértices

O evento é a unidade atômica do modelo e declara que um adversário, usando uma capacidade sobre uma infraestrutura, opera contra uma vítima para atingir um resultado. Cada um dos quatro vértices responde a uma pergunta diferente e carrega um tipo de evidência diferente, e a força do modelo vem exatamente dessa separação: confundir vértices é confundir atribuição com recurso, e é o erro mais comum em relatórios apressados.

A leitura correta do modelo exige disciplina de definição. O domínio de phishing é infraestrutura, e não adversário, mesmo que a reportagem diga o contrário; o operador presumido é adversário. O exploit da CVE é capacidade; o servidor que o entrega é infraestrutura; o funcionário que clicou é vítima. O evento completo liga os quatro, e muitos eventos reais chegam incompletos, com vértices desconhecidos; o modelo lida com isso de forma elegante, porque um vértice desconhecido é explicitamente marcado como tal, e a análise avança pelos vértices conhecidos.

3. Axiomas e Meta-Features

O artigo original estrutura o modelo em axiomas, e dois deles organizam o trabalho diário do analista. O axioma da base dupla declara que todo evento tem origem em adversário e infraestrutura mesmo quando não observados, o que impede o analista de confundir ausência de observação com ausência de ator. O axioma do pivô declara que os vértices existem para serem atravessados: conhecido um vértice, os demais podem ser descobertos a partir dele, que é exatamente a formalização do pivoting descrito na nota do capítulo 03. Há ainda a distinção fundamental entre duas classes de vértices: adversário e capacidade são derivados, inferidos por análise, enquanto infraestrutura e vítima são observáveis, capturados por telemetria e fontes abertas.

As meta-features completam o evento com contexto de análise, e são elas que transformam quatro objetos soltos em evidência utilizável. O modelo original enumera sete, e a prática organizacional normalmente acrescenta campos de fonte e de confiança.

• Timestamp: quando o evento ocorreu, com fuso e fonte do relógio; sem tempo, o evento não participa de sequência nem de janela de correlação.
• Phase: fase da intrusão em que o evento se encaixa, normalmente ancorada no Kill Chain ou nas táticas do ATT&CK.
• Direction: direção do fluxo, se adversário para infraestrutura, infraestrutura para vítima, ou vítima para infraestrutura.
• Methodology: a classe geral de método, como spearphishing, exploração web ou abuso de credencial, em nível mais grosso que a técnica.
• Resources: recursos externos que o adversário consome, como serviço de hospedagem, botnet alugada ou software legal de terceiros.
• Outcome: o resultado para o adversário, como acesso obtido, credencial roubada ou detecção evitada.
• Confidence: a confiança do analista na classificação do evento, separada da confiança em cada fonte que a sustenta.

A combinação de meta-features com vértices é o que permite comparação rigorosa entre eventos. Dois eventos com mesma capacidade e fase, mas direções e resultados diferentes, são atividades distintas da mesma ferramenta; dois eventos com vítimas do mesmo setor e infraestrutura reciclada podem ser a mesma operação em ondas. Sem as meta-features, esses julgamentos viram impressão; com elas, viram critérios escritos.

4. Do Evento ao Activity-Thread

Eventos isolados dizem pouco; a intrusão é uma sequência. O modelo propõe o encadeamento de eventos em activity-threads, que são sequências de eventos ordenados pelo tempo e ligados por fase, formando a atividade completa de um adversário contra uma vítima. Um thread típico de intrusão tem eventos de reconhecimento, entrega, exploração, persistência, movimento lateral e exfiltração, e a fronteira entre threads é onde termina a atividade contínua ou muda o alvo.

O thread é a unidade que a resposta a incidentes consome. Cada evento do thread carrega seu vértice desconhecido como agenda: o evento de entrega sem infraestrutura identificada pede busca no gateway, o evento de persistência sem capacidade identificada pede extração forense. Dessa forma, o modelo organiza a investigação como preenchimento progressivo de vértices, e o produto final do caso é o thread completo, com os quatro vértices preenchidos ou declarados incognoscíveis, e não uma lista de alertas encerrados.

É importante distinguir o thread da campanha. O thread descreve a atividade contra uma vítima, com começo e fim; a campanha é a atividade do adversário contra muitas vítimas, no mesmo intervalo, e é vista pela união de vários threads com infraestrutura e capacidade compartilhadas. A análise organizacional produz threads próprios e consome campanhas externas, e a fronteira entre os dois níveis é o que permite comparar o incidente próprio com a inteligência do setor sem misturar escopos.

5. Pivoting e Clustering com o Diamond

O uso analítico mais produtivo do modelo é a travessia de vértices. A regra é formal: conhecido um vértice de um evento, buscam-se outros eventos que compartilham esse vértice, e os demais vértices desses eventos revelam expansão nova. A lista abaixo mostra as travessias mais produtivas na prática.

• Do vértice infraestrutura: o IP do C2 de um evento aponta para outros eventos do mesmo operador quando o DNS passivo e o certificado revelam co-uso, travessia descrita em detalhe na nota de Pivoting.
• Do vértice capacidade: o hash do binário ou o comportamento em técnicas ATT&CK aponta para campanhas anteriores que usaram a mesma carga ou a mesma rotina.
• Do vértice vítima: o setor, o porte e a geografia da vítima alimentam o perfil de alvo do adversário e a previsão de próximos alvos, insumo direto do CTI.2.
• Do vértice adversário: a rotina operacional, como horário de atividade e ordem de técnicas, aponta continuidade mesmo quando toda a infraestrutura é renovada.
• Pelo resultado: outcomes idênticos em vítimas distintas, como exclusão de sombra seguida de criptografia, agrupam eventos de famílias diferentes de ransomware em operações de mesmo programa econômico.

O clustering é o acúmulo dessas travessias em um grafo com confiança explícita, e o modelo entrega o vocabulário para isso: dois eventos se agrupam por um vértice compartilhado, e a força do agrupamento depende da raridade do vértice compartilhado. Compartilhar ASN de provedor de nuvem é vértice fraco, porque é comum; compartilhar a mesma chave pública TLS é vértice forte, porque é raro e caro de trocar. Essa leitura de raridade é o que conecta o Diamond à Pirâmide de Dor, que ordena exatamente os níveis de custo que o adversário tem para trocar cada tipo de vértice.

6. Combinação com o ATT&CK e com o Kill Chain

Os três modelos do capítulo ocupam camadas complementares, e a combinação é o padrão de trabalho maduro. O Kill Chain organiza a narrativa em fases e responde a quando na linha do tempo da intrusão. O ATT&CK nomeia o comportamento em cada fase e responde a como, com vocabulário compartilhado que vira detecção. O Diamond estrutura cada observação e responde a o quê se relaciona com o quê, com a fronteira clara entre inferido e observado. Um evento real de intrusão, descrito com os três, tem fase, técnica e vértices, o que é a descrição mais completa e acionável possível.

Na prática organizacional, a combinação vira formato de registro. O caso do IR modela cada achado como evento Diamond, a fase vem do Kill Chain para contextualizar a narrativa executiva, e o campo de capacidade carrega as técnicas ATT&CK com IDs. Esse formato triplamente ancorado é aceito tanto pelo time técnico, que precisa das técnicas para detectar, quanto pela liderança, que precisa das fases para entender progresso e risco.

7. Exemplo de Evento Modelado

O evento abaixo modela, em formato declarativo, a entrega de phishing em uma intrusão real de caça financeira, com os vértices preenchidos e as meta-features explícitas. Esse é o formato de referência dos registros de evento desta biblioteca.

evento_diamond:
  id: EVT-2025-0417
  timestamp: 2025-04-17T09:41:23-03:00
  fonte: gateway de e-mail + EDR do host do usuário
  vertices:
    adversario:
      valor: operador presumido do grupo X, pseudonimo em relatorio público
      classe: derivado
      confianca: media
    capacidade:
      valor: kit de phishing com página de login e coletor em PHP
      tecnicas_attack: [T1566.002, T1071.001]
      classe: observado parcialmente
    infraestrutura:
      valor: domínio conta-servicos.top, IP 198.51.100.77 em VPS
      pivots_conhecidos:
        - mesma chave TLS em dois dominios irmãos
        - nameserver dedicado em provedor pequeno
      classe: observado
    vítima:
      valor: funcionário do setor financeiro, organização alvo
      classe: observado
  meta_features:
    phase: Delivery (Kill Chain) / Initial Access (ATT&CK)
    direction: infraestrutura para vítima
    methodology: spearphishing com link
    resources: hospedagem em nuvem de baixo custo
    outcome: credencial capturada
    confidence: alta para os vértices observados
  hipoteses_abertas:
    - mesmo nameserver usado por campanha anterior do setor de saúde
    - segundo estágio de coleta ainda não localizado

A leitura do evento revela o valor do formato. O campo de classe separa o que foi observado do que foi inferido, o que protege o relatório de crítica em revisão; as técnicas ATT&CK no vértice de capacidade geram hipóteses de detecção diretas; e a lista de hipóteses abertas transforma o fim da análise em agenda de próxima análise. O evento se encadeia, no mesmo caso, com o evento de uso da credencial capturada, e o thread resultante mostra a progressão completa com tempo, fase e resultado por passo.

O segundo evento do mesmo thread, modelado a seguir, mostra o encadeamento e a troca de direção: agora a vítima comunicou com infraestrutura do adversário, e o resultado muda o estado do caso.

evento_diamond:
  id: EVT-2025-0418
  timestamp: 2025-04-17T14:02:57-03:00
  fonte: proxy + logs de autenticação
  vertices:
    adversario:
      valor: mesmo operador presumido (pivô por nameserver e template)
      classe: derivado
    capacidade:
      valor: sessão autenticada com credencial capturada
      tecnicas_attack: [T1078, T1114.002]
      classe: observado
    infraestrutura:
      valor: domínio conta-servicos.top, coletor em PHP
      classe: observado
    vítima:
      valor: mesma conta de funcionário, acesso a partir de VPN residencial
      classe: observado
  meta_features:
    phase: Actions on Objectives (Kill Chain) / Collection (ATT&CK)
    direction: vítima para infraestrutura
    methodology: uso de credencial válida
    outcome: caixa de e-mail acessada remotamente
    confidence: alta
  ligacao:
    evento_anterior: EVT-2025-0417
    pivô: vítima e infraestrutura compartilhados

8. Erros Comuns e Pontos de Atenção

• Colocar o domínio no vértice adversário: infraestrutura é infraestrutura, mesmo quando o operador é conhecido; a confusão contamina o grafo e infla atribuição.
• Tratar o evento incompleto como inválido: vértice desconhecido é estado legítimo do modelo, e o caso avança pelos vértices observados; exigir evento completo trava a análise.
• Ignorar as meta-features: quatro objetos sem timestamp, direção e confiança não formam evento no sentido do modelo, e a correlação sem elas vira coincidência.
• Confundir confiança do evento com confiança da fonte: um evento pode ter fonte técnica confiável e classificação de adversário incerta; os dois níveis se registram separadamente.
• Pivô por vértice comum: ASN, TLD e país são vértices densos, e travessia por eles produz milhares de falsos vizinhos; a raridade do vértice deve guiar a travessia, conforme a nota de Pivoting.
• Encadear sem ordem temporal: thread sem timestamp confiável perde a propriedade central, e o uso de relógio desalinhado entre fontes distorce a sequência; normalize fuso e fonte de tempo na ingestão.
• Usar o modelo só no pós-incidente: a modelagem em tempo de investigação guia a coleta, e modelar tudo no encerramento perde a chance de preencher vértices com evidência fresca.
• Modelar sem padrão de registro: cada analista com formato próprio destrói a comparabilidade entre casos; o template declarativo desta nota deve ser o padrão da equipe, versionado junto aos templates do TH.6.

9. Integração com o Restante da Biblioteca

O Diamond Model é o esqueleto lógico das notas vizinhas: o pivoting do capítulo 03 é a travessia formal de vértices, o ATT&CK da nota anterior fornece o vocabulário do vértice de capacidade, a Pirâmide de Dor fornece a métrica de raridade que ordena as travessias, e o VERIS, na nota seguinte, herda a separação entre ator, ação, ativo e resultado ao descrever o incidente consolidado. No lado operacional, o caso de IR modelado em eventos alimenta o IR.2 da seção 15, e o thread de atividade é o objeto que o hunting orientado por inteligência do INT.1 persegue de forma proativa.

A síntese que esta nota deixa é a disciplina de unidade: toda observação que entra no conhecimento da organização deveria, idealmente, ser um evento com quatro vértices e meta-features, e não uma linha solta em uma planilha. Com essa base, a nota seguinte sobre a Cyber Kill Chain organiza as mesmas evidências em fases, e a sequência de leitura do capítulo completa o repertório de modelos que o analista combina por caso.