Diamond Model of Intrusion Analysis.

Analyse-Framework, das jedes bösartige Ereignis mit vier Knoten verbindet: Adversary, Capability, Infrastructure und Victim. Es gehört zur Kategorie Verteidigung und Betrieb der Cybersicherheit.

Analyse-Framework, das jedes bösartige Ereignis mit vier Knoten verbindet: Adversary, Capability, Infrastructure und Victim.

Das Diamond Model of Intrusion Analysis, 2013 von Caltagirone, Pendergast und Betz veröffentlicht, beschreibt jedes bösartige Ereignis als Diamant aus vier zentralen Features: Adversary, Capability (Tools, Malware, TTPs), Infrastructure (IPs, Domains, C2) und Victim. Meta-Features wie Zeitstempel, Phase, Ergebnis, Richtung, Methodik und Ressourcen reichern jedes Ereignis an. Analysten pivotieren zwischen den Knoten, um verwandte Aktivitäten aufzudecken – etwa von einer Domain zu anderen Domains desselben Angreifers oder von einem Capability-Hash zu weiteren Opfern. Das Modell ergänzt MITRE ATT&CK und die Cyber Kill Chain durch eine explizite Relationssicht und ist in Threat-Intelligence-Plattformen, Analyseberichten und strukturierten Pivot-Workflows weit verbreitet.

Schutzmaßnahmen gegen Diamond Model of Intrusion Analysis kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.