El Modelo Diamante es un marco que describe las relaciones entre adversarios, capacidades, infraestructura y víctimas en el contexto de intrusiones. Aunque se emplea comúnmente para analizar incidentes individuales, también puede aplicarse a situaciones desordenadas centradas en el adversario.
Elementos del Modelo Diamante
El modelo establece que cualquier actividad maliciosa incluye cuatro características principales: el adversario, la víctima, la infraestructura y la capacidad. Estas son consideradas elementos básicos de cualquier evento malicioso según el Axioma 1.
Adversario
El adversario es cualquier individuo o grupo que busca comprometer sistemas o redes para lograr sus objetivos. Puede ser una persona interna, un actor externo, un grupo o incluso una organización. Al inicio de un incidente, no siempre se conoce quién es el adversario.
Capacidad
Una capacidad representa la herramienta o técnica utilizada por un adversario durante un evento. Ejemplos incluyen adivinar contraseñas mediante fuerza bruta, instalar puertas traseras para establecer control remoto, entre otros.
Infraestructura
La infraestructura se refiere a las estructuras de comunicación que los delincuentes informáticos utilizan para desplegar sus capacidades. Ejemplos incluyen dominios, dispositivos USB, cuentas comprometidas y servidores de almacenamiento de malware.
Víctima
La víctima es el objetivo del adversario contra el cual se utilizan las capacidades. Puede ser una persona, empresa, dirección de correo electrónico o dominio. El modelo permite definir a la víctima de manera más granular al dividirla en personas y activos.
MITRE ATT&CK
El marco MITRE ATT&CK se utiliza para documentar tácticas, técnicas y procedimientos comunes empleados por amenazas avanzadas contra redes empresariales. Este framework ayuda a entender cómo los adversarios logran sus objetivos.
Tácticas
Las tácticas representan el propósito de una técnica o subtécnica, es decir, el objetivo táctico del adversario al realizar una acción. Algunas tácticas incluyen:
- Execution
- Persistence
- Defense Evasion
- Discovery
- Collection
- Command and Control
- Exfiltration
Técnicas
Las técnicas representan cómo un adversario logra sus objetivos tácticos mediante acciones específicas. Algunas técnicas incluyen:
- User Execution: Malicious File
- Command and Scripting Interpreter: Python
- Command and Scripting Interpreter: Unix Shell
- Hijack Execution Flow
- Deobfuscate/Decode Files or Information
- Hide Artifacts: Hidden Files and Directories
- Indicator Removal: File Deletion
- Masquerading: Match Legitimate Name or Location
- Obfuscated Files or Information: Software Packing
- Reflective Code Loading
- File and Directory Discovery
- Process Discovery
- System Information Discovery
- Archive Collected Data: Archive via Custom Method
- Local Data Staging
- Application Layer Protocol: Web Protocols
- Fallback Channels
- Ingress Tool Transfer
- Exfiltration Over C2 Channel