executing-diamond-model-analysis

name	executing-diamond-model-analysis
description	将入侵分析菱形模型应用于将对手活动结构化为四个核心顶点（对手、能力、基础设施、受害者），并识别它们之间的关系，以引导调查和归因活动。适用于分析已完成的入侵事件、将不同事件关联到共同威胁行为者，或构建用于威胁情报传播的结构化分析产品时。适用于涉及菱形模型、入侵分析、活动聚类或对手归因方法论的请求。
domain	cybersecurity
subdomain	threat-intelligence
tags	["Diamond-Model","intrusion-analysis","attribution","campaign-clustering","CTI","MITRE-ATT&CK"]
version	1.0.0
author	team-cybersecurity
license	Apache-2.0

执行菱形模型分析

适用场景

在以下情况下使用本技能：

• 分析已确认的入侵事件，了解完整的对手-能力-基础设施-受害者关系
• 尝试使用共享基础设施或能力指标，将两起或多起事件关联到共同的威胁行为者
• 构建在正式分析框架中解释对手行为的完成情报产品

请勿使用本技能进行主动事件遏制——菱形模型分析是事后或同步进行的情报活动，而非响应程序。

前置条件

• 已完成的事件调查数据：日志、取证产物、恶意软件样本、网络捕获
• 可访问 MITRE ATT&CK、VirusTotal、Shodan 和被动 DNS 数据库，用于顶点富化
• 链接分析平台（Maltego、Analyst's Notebook 或 Neo4j 等图数据库），用于多事件关联
• 熟悉菱形模型原始论文：Caltagirone、Pendergast、Betz（2013）

工作流程

步骤 1：填充四个核心顶点

对手顶点：谁实施了活动？

• 操作者（直接键盘访问）与客户（委托攻击的人）的区别
• 归因置信度（低/中/高），附支持证据
• 已知别名、ATT&CK 组织 ID、行业目标历史

能力顶点：使用了哪些工具和技术？

• 恶意软件家族：名称、YARA 签名、行为特征
• 漏洞利用：利用的 CVE、利用工具包标识符
• 使用的 ATT&CK 技术（T 编号）
• 能力复杂程度：商业（现货）vs. 定制开发

基础设施顶点：使用了哪些系统实施攻击？

• C2 服务器：IP、域名、托管提供商、证书指纹
• 投递基础设施：网络钓鱼域名、水坑攻击、受攻击服务器
• 操作中继节点（ORB）：隐藏真实来源的中间代理

受害者顶点：针对谁/什么？

• 组织画像：行业、规模、地区、技术栈
• 角色：被针对的特定个人（CISO、财务团队、高管）
• 目标资产：知识产权、金融系统、OT/ICS

步骤 2：识别顶点关系（边）

记录顶点间的关系：

• 对手 → 使用 → 能力（恶意软件开发/部署关系）
• 对手 → 使用 → 基础设施（操作关系）
• 基础设施 → 投递 → 能力（技术投递机制）
• 能力 → 针对 → 受害者（攻击面关系）
• 基础设施 → 攻击 → 受害者（直接连接）

每条边至少应有两个独立数据点支撑（基于证据，而非推断）。

步骤 3：应用元特征进行富化

元特征提供超出四顶点的额外上下文：

时间戳：入侵每个阶段何时发生？映射到网络杀伤链阶段。

阶段：此活动代表哪个杀伤链阶段？

• 侦察 → 武器化 → 投递 → 利用 → 安装 → C2 → 目标行动

方向：攻击方向（外部到内部、内部到外部用于数据渗出）

结果：每个对手行动的结果（成功/失败/部分）

资源：对手投入的资源（时间、金钱、基础设施成本、零日使用）

步骤 4：使用顶点枢纽聚类事件

应用菱形模型枢纽逻辑聚类相关事件：

• 基础设施枢纽：多起事件使用相同的 C2 IP → 相同或相关的对手
• 能力枢纽：相同的恶意软件哈希或 YARA 签名 → 相同的工具开发者
• 对手枢纽：相同的受害者学模式（行业+地区+资产类型）→ 相同的目标标准
• 受害者枢纽：同一受害者出现在多起事件中 → 针对该组织的持续性活动

事件 A：IP 185.220.101.x，域名 evil-redir[.]com，SUNBURST 恶意软件变种
事件 B：IP 185.220.101.y（同一 /24），域名 redir-evil[.]com，修改版 SUNBURST
→ 基础设施聚类（同一 /24 块）+ 能力聚类（同一恶意软件家族）= 高置信度同一行为者

步骤 5：生成结构化分析输出

以结构化格式记录分析：

• 每个独立入侵事件的菱形事件图
• 跨时间连接多个事件的活动线索
• 带有置信度评估的活动组（聚类）
• 竞争假说分析：带有证据加权的替代归因解释（ACH 方法论）

核心概念

术语	定义
菱形模型	入侵分析框架，包含四个顶点（对手、能力、基础设施、受害者），通过代表关系的边相连
活动线索	代表单一对手行动的按时间排列的菱形事件序列
活动组	通过共享顶点属性关联的菱形事件集群，表明存在共同对手
操作者 vs. 客户	菱形模型区分：操作者拥有键盘访问权限；客户指挥/资助行动
枢纽	使用已知顶点值发现其他相关事件或基础设施（例如一个 IP 揭示 20 多个 C2 域名）
ACH	竞争假说分析——用于评估多个归因假说证据的结构化分析技术

工具与系统

• Maltego：基于图谱的链接分析，非常适合可视化菱形顶点关系和基础设施枢纽
• Neo4j：用于大规模存储和查询复杂菱形事件集群的图数据库；支持 Cypher 查询语言
• MISP：通过 MISP Galaxy 和关联引擎支持菱形模型元特征标记
• Analyst's Notebook（IBM i2）：执法/情报级别的链接分析，用于对手关系映射

常见陷阱

• 混淆操作者和客户：不区分实施攻击者和指挥攻击者会导致错误的归因目标。
• 基础设施重用假设：防弹托管提供商向多个犯罪组织出售相同的 IP 块。没有额外佐证时，共享 IP ≠ 相同行为者。
• 无置信度级别的分析：没有置信度限定词呈现的菱形模型结论，显得比证据所支持的更确定。
• 忽视受害者顶点：分析通常过度关注对手/能力，忽视受害者表征，而受害者表征对预测未来目标至关重要。
• 静态图表：菱形事件应有时间戳，并随新证据出现而更新。没有版本历史的静态图表会掩盖分析演变。