钻石模型(入侵分析).

钻石模型(Diamond Model of Intrusion Analysis)由 Caltagirone、Pendergast 和 Betz 于 2013 年提出,将每个恶意事件表示为一颗钻石,连接四个核心要素:对手(Adversary)、能力(Capability,工具、恶意软件、TTP)、基础设施(Infrastructure,IP、域名、C2)和受害者(Victim)。时间戳、阶段、结果、方向、方法论、资源等元特征用于丰富事件细节。分析师通过在四个顶点之间不断 pivot 来发现关联活动——例如,从某个域名追溯到同一对手注册的其他域名,或从某个能力哈希追溯到其他受害者。该模型与 MITRE ATT&CK 和网络杀伤链互补,通过显式建模关系而被广泛用于威胁情报平台、入侵分析报告以及结构化的 pivot 工作流。