はじめに
本記事はTry Hack Me Diamond Modelのメモです。
Introduction
侵入分析のダイヤモンドモデルは、2013年にサイバーセキュリティの専門家であるセルジオ・カルタジローネ、アンドリュー・ペンダーガスト、クリストファー・ベッツによって開発された。
このモデルは、攻撃グループ（Adversary）、攻撃基盤（Infrastructure）、能力（Capability）、被害者（Victim）の4要素からサイバー攻撃のパターンを分析する方法です。
ダイヤモンドモデルを学ぶことは、サイバー攻撃による侵害、侵入、攻撃、インシデントなどのイベントを特定するのに役立ちます。
また、イベント中に何が発生し、悪意のある攻撃者に関する情報について、技術者ではない方々に説明するのにも役立ちます。
Adversary
攻撃グループは、攻撃者、敵、脅威アクター、ハッカーとも呼ばれます。
攻撃グループは、サイバー攻撃の背後に立つ人物・集団であり、目的を達成するため被害者に対して能力を行使します。
攻撃グループには、オペレーター、顧客がいます。
オペレーターは、侵入活動を行うハッカーやそれに類似する人物のことを指します。
顧客は、侵入活動から得られた利益を得る立場にある事業団体です。
Victim
被害者（攻撃グループのターゲット）は、組織、個人、メールアドレス、IPアドレス、ドメインなどがあります。
また、被害者は攻撃者が攻撃しようとしている組織の足がかりになる可能性もあります。
被害者を分析分類する上で、被害者ペルソナと被害者アセットの違いを理解することが重要です。
被害者ペルソナとは、標的にされ、その資産を攻撃・搾取されている人々や組織のことです。組織名、人名、業界、職務などがあります。
被害者アセットとは、攻撃対象範囲のことです。システム、ネットワーク、メールアドレス、IPアドレス、SNSアカウントなどがあります。
Capability
能力とは、攻撃グループがサイバー攻撃による侵害、侵入、攻撃、インシデントなどのイベントで使用するスキル、ツール、テクニックです。
能力キャパシティとは、個々の能力が使用することができるすべての脆弱性とバグのことをいいます。
攻撃グループの武器庫とは、攻撃グループが持つ一連の能力のことです。攻撃グループに属する個人の能力の組み合わせが攻撃グループの武器庫になります。
Infrastructure
攻撃基盤とは、攻撃者に能力を提供したり、能力のコントロールを維持したりするために使用する物理的または論理的な基盤のことを指します。ソフトウェアまたはハードウェアともいえます。
例えば、IPアドレス、ドメイン名、電子メールアドレス、街中の喫茶店にある悪意のあるUSBデバイスなどがあります。
攻撃基盤は２つのタイプがあります。
タイプ１は、攻撃グループが所有するインフラです。
タイプ２は、仲介者が管理するインフラです。仲介者はインフラが攻撃基盤として使用されていることに気づいている場合もありますし、気づいていない場合もあります。
サービスプロバイダとは、攻撃グループがタイプ１およびタイプ２の攻撃基盤を利用できるようにするために重要と考えられるサービスを提供する組織です。
例えば、インターネットサービスプロバイダ、ドメインレジストラ、ウェブメールプロバイダなどがあります。
Event Meta Features
ダイヤモンド・モデルには、6つのメタ機能を追加することができる。メタフィーチャーは必須ではないが、ダイヤモンド・モデルに価値ある情報やインテリジェンスを加えることができる。
| メタ情報 | 説明 |
|---|---|
| タイムスタンプ | 侵入イベントが発生した日時 |
| フェーズ | 侵入、攻撃、侵害のフェーズ |
| 結果 | 攻撃グループの作戦の結果。成功、失敗、不明などラベル付けする |
| 方向 | 侵入攻撃の方向。被害者対攻撃基盤、攻撃基盤対攻撃基盤、攻撃グループ対攻撃基盤、双方向、不明 |
| 手法 | 侵入に使用される手法。フィッシング、DDoS、ポートスキャンなど |
| リソース | 侵入イベント成功のため胃使用される外部リソース。ソフトウェア、知識、情報、ハードウェア、資金、設備、アクセスなど |
Social-Political Component
社会的・政治的要素には、金銭的な利益、ハクティビズム、スパイ活動などがあり、攻撃グループの要求や意図を説明するものです。
Technology Component
テクノロジー要素は、攻撃基盤（Infrastructure）と能力（Capability）の関係性を特徴づけます。攻撃グループがどのように活動し、どのように通信するかを説明するものです。