ダイヤモンドモデル(侵入分析).

ダイヤモンドモデル(Diamond Model of Intrusion Analysis)は、Sergio Caltagirone、Andrew Pendergast、Christopher Betz が 2013 年に Center for Cyber Intelligence Analysis and Threat Research 向けの論文で発表した手法で、各悪意あるイベントを 4 つの中核要素——敵対者(Adversary)、能力(Capability:ツール・マルウェア・TTP)、インフラ(Infrastructure:IP・ドメイン・C2)、被害者(Victim)——を結ぶダイヤモンドとして表現します。タイムスタンプ、フェーズ、結果、方向、方法論、リソースなどのメタ特徴が各イベントを補強します。

ピボットと分析上の活用

本モデルの真価はピボットにあります。既知の頂点が 1 つあれば、そこから他の頂点を発見できます。1 つのマルウェアハッシュ(能力)から、それが触れたすべての被害者を洗い出し、1 つの C2 ドメイン(インフラ)から、それを他のドメインへ結びつける登録者メールアドレスを、被害者像からは敵対者の意図の可能性を導き出せます。サイバーキルチェーンに沿ってダイヤモンドを連鎖させるとアクティビティスレッドが生まれ、共通する特徴を持つスレッドをまとめるとアクティビティグループが得られます。これは、CrowdStrike の "BEAR"/"PANDA" 命名や Microsoft の "typhoon" ファミリーといったベンダーのクラスタ命名を支える方法論そのものです。

誰が(敵対者)を何を(能力)やどこで(インフラ)から切り分けるため、ダイヤモンドモデルはどのようにを列挙する MITRE ATT&CK や STIX のような構造化フォーマットと自然に組み合わさります。これにより SOC は、仮説を IOC のフラットなリストではなく検証可能な関係として表現できます。だからこそ本モデルは、脅威インテリジェンスプラットフォームや正式な侵入分析レポートにおけるピボットワークフローの基盤となっています。

flowchart TD
  A[敵対者] ---|開発する| C[能力]
  A ---|制御する| I[インフラ]
  C ---|経由で展開| I
  C ---|に対して使用| V[被害者]
  I ---|に接続| V
  A -.-|を標的とする| V
  subgraph Pivots
    direction LR
    P1[ハッシュから他の被害者へ]
    P2[ドメインから登録者からさらなるドメインへ]
    P3[被害者像から敵対者の意図へ]
  end