Diamond Model: como estruturar o raciocínio sobre uma intrusão

Do indício solto à análise com método

Todo analista de CTI acumula indicadores — um IP aqui, um hash ali, um domínio suspeito. O desafio não é coletar: é transformar esses fragmentos em entendimento. Quem está por trás? Com que ferramentas? Contra quem? O Diamond Model é o framework que dá estrutura a esse raciocínio sobre intrusões.

Os quatro vértices de todo evento

No centro do modelo está o evento — a unidade atômica de uma intrusão. Todo evento conecta quatro elementos irredutíveis:

• Adversário — quem conduz a ação.
• Capacidade — as ferramentas e técnicas usadas (malware, exploits, TTPs).
• Infraestrutura — o que o adversário usa para operar (domínios, IPs, servidores de C2).
• Vítima — o alvo (pessoa, organização ou ativo).

Os quatro se ligam como os vértices de um diamante. Nenhuma intrusão existe sem os quatro — e é justamente essa completude que torna o modelo uma "gramática" da análise.

O que muda a análise: o pivoteamento

O poder do modelo está no pivoteamento: a partir de qualquer vértice, você descobre os outros.

• De uma infraestrutura (um domínio de C2), você pivota para outras vítimas que resolvem para ele.
• De uma capacidade (uma amostra de malware), você pivota para o adversário que a desenvolveu e para outras campanhas que a reutilizam.

Cada indicador deixa de ser um dado isolado e vira um ponto de partida para expandir o conhecimento sobre a ameaça.

Meta-características: contexto e confiança

Cada evento carrega meta-características que dão contexto — timestamp, fase, resultado, direção, metodologia e recursos — e, crucialmente, um nível de confiança. Análise de intrusão séria distingue o que é fato do que é hipótese, e registra essa diferença.

Diamond, Kill Chain e ATT&CK: camadas que se somam

O Diamond Model não substitui outros frameworks — ele os conecta:

• O Diamond responde quem, contra quem e com o quê (a camada relacional).
• A Cyber Kill Chain responde em que fase (a camada sequencial).
• O MITRE ATT&CK responde como, no nível da técnica observável.

Juntos, descrevem uma intrusão de ponta a ponta — do fragmento isolado à campanha inteira.

Atribuição com responsabilidade

O modelo é uma ferramenta poderosa para atribuição, mas atribuir é uma conclusão de alta consequência. Use os níveis de confiança, sustente cada afirmação com evidência e resista à tentação de "fechar" o diamante sem base. Um bom analista sabe a diferença entre provável e provado.

Do fundamento à prática

O Diamond Model é simples de desenhar e profundo de operar. Dominar seus axiomas, o pivoteamento e a integração com outros frameworks é o que separa citar o modelo de usá-lo numa investigação real.

Foi para percorrer esse caminho que escrevemos o e-book Diamond Model — Análise de Intrusão: estrutura atômica, axiomas, pivoteamento e atribuição, dos fundamentos à aplicação.

🔷 Baixe gratuitamente: Diamond Model — Análise de Intrusão