Diamond Model: Cómo Pivotar entre IOCs (Guía CTI)
Aplica el Diamond Model con casos reales: pivota entre adversario, capacidad, infraestructura y víctima para convertir un IOC en inteligencia accionable.
El Diamond Model estructura cada intrusión en 4 vértices que permiten pivotar de un indicador a una campaña completa
TL;DR: El Diamond Model es un framework de CTI que descompone intrusiones en cuatro vértices interconectados: adversario, capacidad, infraestructura y víctima. A diferencia de otros modelos, permite pivotar entre datos para transformar un simple hash en la visibilidad total de una campaña avanzada como las de APT28. Implementa este modelo para estructurar tu inteligencia de amenazas y optimizar la respuesta ante incidentes complejos.
El Diamond Model es el framework analítico más usado en CTI para descomponer y relacionar los elementos de una intrusión. Cada evento de seguridad se modela como un diamante con 4 vértices interconectados. La potencia del modelo está en el pivoting: a partir de un solo dato (un hash, una IP), puedes recorrer el diamante para descubrir toda la campaña.
Los 4 vértices
ADVERSARY
(quién ataca)
/\
/ \
/ \
/ \
CAPABILITY ◄/────────\► INFRASTRUCTURE
(con qué) \ / (desde dónde)
\ /
\ /
\ /
\/
VICTIM
(a quién)
1. Adversary (Adversario)
El actor detrás del ataque: grupo APT, afiliado RaaS, insider, hacktivista.
| Atributo | Ejemplo |
|---|---|
| Nombre/ID | APT28 (G0007) |
| Motivación | Espionaje político |
| Patrocinador | GRU, Rusia |
| Sofisticación | Tier 2 (avanzado) |
| Sectores objetivo | Gobierno, defensa, OTAN |
2. Capability (Capacidad)
La herramienta, técnica o malware usado.
| Atributo | Ejemplo |
|---|---|
| Malware | X-Agent backdoor |
| Técnica ATT&CK | T1566.001 (Phishing Attachment) |
| Exploit | CVE-2023-23397 |
| Tool | Mimikatz, Cobalt Strike |
3. Infrastructure (Infraestructura)
Los recursos técnicos usados para el ataque.
| Atributo | Ejemplo |
|---|---|
| C2 Server | 185.220.101.34 |
| Dominio phishing | login-microsoftonline[.]com |
| Email sender | noreply@secure-update[.]org |
| Hosting | VPS en Moldavia |
| Registrar | Namecheap (registrado hace 7 días) |
4. Victim (Víctima)
El objetivo del ataque.
| Atributo | Ejemplo |
|---|---|
| Organización | Ministerio de Defensa, País X |
| Sector | Gobierno/defensa |
| Región | Europa |
| Asset comprometido | Servidor Exchange, endpoint del director |
| Datos exfiltrados | Emails clasificados, planes operativos |
Pivoting: el poder del Diamond Model
Pivoting es moverse de un vértice a otro para descubrir relaciones.
Ejemplo práctico: de un hash a una campaña
INICIO: Hash SHA256 detectado en endpoint
→ CAPABILITY: hash = X-Agent backdoor (YARA match)
PIVOT 1: Capability → Adversary
→ X-Agent está asociado con APT28 (Fancy Bear)
PIVOT 2: Capability → Infrastructure
→ X-Agent contacta C2 en 45.67.89.123
→ Passive DNS: 45.67.89.123 resuelve a update-service[.]org
→ WHOIS: registrado hace 5 días, registrante anónimo
PIVOT 3: Infrastructure → Victims
→ VirusTotal/OTX: 45.67.89.123 reportado por 3 organizaciones más
→ Todas son ministerios de defensa en Europa
PIVOT 4: Adversary → Campaigns
→ APT28 + ministerios defensa EU + X-Agent = campaña documentada Q4 2025
→ Mandiant report: "Forest Blizzard targets European defense ministries"
RESULTADO: De un hash aislado → campaña APT28 contra defensa EU
→ Acción: buscar 45.67.89.123 y update-service[.]org en todos los logs
→ Acción: compartir IOCs con ISACs del sector defensa
→ Acción: implementar detecciones para X-Agent TTPs
Tabla de pivoting
| De → A | Método |
|---|---|
| Infrastructure → Capability | VirusTotal (samples que contactan esa IP) |
| Infrastructure → Adversary | Threat intel feeds, vendor reports |
| Infrastructure → Victim | Passive DNS, shodan, sharing groups |
| Capability → Infrastructure | Sandbox analysis (C2 domains/IPs) |
| Capability → Adversary | ATT&CK groups, YARA familia match |
| Adversary → Infrastructure | Vendor reports, historical IOCs |
| Adversary → Capability | ATT&CK software, vendor reports |
| Adversary → Victim | CTI reports, MITRE groups |
| Victim → Infrastructure | SIEM logs, firewall logs |
| Victim → Capability | EDR detections, sandbox results |
Meta-features: contexto adicional
El Diamond Model incluye meta-features que enriquecen cada evento:
| Meta-feature | Qué aporta | Ejemplo |
|---|---|---|
| Timestamp | Cuándo ocurrió | 2025-10-15 14:32 UTC |
| Phase | Fase del ataque (kill chain) | Initial Access → Execution |
| Result | Éxito o fracaso | Exfiltración exitosa |
| Direction | Flujo (ingress/egress/lateral) | Adversary → Victim (ingress) |
| Methodology | Tipo de actividad | Phishing, exploit, supply chain |
| Resources | Recursos invertidos | Zero-day (alto coste) |
Activity Threading: conectar diamantes
Un ataque completo es una cadena de diamantes (Activity Thread):
Diamante 1 (Initial Access):
Adversary: APT28
Capability: Phishing email con macro
Infrastructure: malicious-doc[.]org
Victim: Empleado del ministerio
Diamante 2 (Execution):
Adversary: APT28
Capability: X-Agent backdoor
Infrastructure: C2 en 45.67.89.123
Victim: Endpoint del empleado
Diamante 3 (Lateral Movement):
Adversary: APT28
Capability: PsExec + Mimikatz
Infrastructure: SMB interno (\\dc01)
Victim: Domain Controller
Diamante 4 (Exfiltration):
Adversary: APT28
Capability: X-Agent exfil module
Infrastructure: HTTPS a 45.67.89.123
Victim: Emails del director general
Cada diamante es un evento. La cadena completa es la campaña.
Diamond Model vs ATT&CK vs Kill Chain
| Framework | Foco | Pregunta principal |
|---|---|---|
| Diamond Model | Relaciones entre elementos | "¿Quién, con qué, desde dónde, a quién?" |
| ATT&CK | Comportamiento del adversario | "¿Qué técnicas usa?" |
| Kill Chain | Fases secuenciales | "¿En qué fase del ataque está?" |
Los tres son complementarios:
- Kill Chain: macro-fases del ataque (reconnaissance → weaponization → delivery → ...)
- ATT&CK: detalle técnico de cada fase (qué técnicas dentro de cada fase)
- Diamond Model: relaciones entre actores, herramientas, infraestructura y víctimas
Conclusión
El Diamond Model es la herramienta de pivoting más potente en CTI. Transforma un indicador aislado en una campaña completa conectando adversario, capacidad, infraestructura y víctima. Combinado con ATT&CK (para detallar las capabilities) y el Kill Chain (para secuenciar las fases), proporciona el marco completo para análisis de intrusiones.
Fuentes y referencias
- Caltagirone, S., Pendergast, A., Betz, C.: "The Diamond Model of Intrusión Analysis" (2013)
- SANS: "Applying the Diamond Model" (CTI course material)
- Center for Threat-Informed Defense: Diamond Model resources
Preguntas frecuentes
Artículos relacionados
Intelligence Cycle: De la Planificación a la Difusión
Cyber Kill Chain vs MITRE ATT&CK: Cuándo Usar Cada Uno
Pirámide del Dolor: Por Qué los TTPs Valen Más que los IOCs
Atribucion de APTs: metodologia y errores comunes
Qué es un APT: Taxonomía, Motivaciones y Patrones Operativos
Hipotesis de Hunting Basadas en ATT&CK: Guia Practica
Este contenido tiene fines exclusivamente educativos y de investigación en ciberseguridad defensiva. No se proporcionan binarios maliciosos ni payloads ejecutables. El uso indebido de esta información es responsabilidad exclusiva del usuario. Leer disclaimer completo.