Das Diamond Model

Wenn die Karikatur das Modell ersetzt


Elf. Vier. Sechs. Elf Bestandteile hat das Diamond Model von
Caltagirone, Pendergast und Betz aus dem Jahr 2013 — vier Knoten,
sechs Kanten, zwei Meta-Features, sieben Axiome. Vier davon kennt
jede Vendor-Folie. Sechs der elf Bestandteile fallen in der
Industrie-Lesart regelmässig unter den Tisch. Das ist die
Karikatur, vor der Caltagirone selbst im Summary-Paper von 2020
warnt.


In der fünften Sach-Folge zerlegen wir das Werkzeug in seiner
vollen Tiefe — vier Knoten plus sechs bidirektionale Kanten, plus
die Meta-Features Social-Political und Technology, plus die
sieben Axiome. Wir machen es am härtesten Demonstrationsfall der
westlichen Cyber-Threat-Intelligence: Sandworm, von Mandiant 2024
zu APT44 promoviert, mit einem Activity-Thread von BlackEnergy
2014 bis Industroyer2 2022. Was bedeutet das
Social-Political-Meta-Feature, wenn es in den meisten
Vendor-Reports ein weisser Fleck bleibt? Welcher Knoten in einem
Sandworm-Profil trägt die forensische Härte einer
US-Justizministerium-Anklage mit sechs namentlich genannten
Offizieren der Unit 74455 — und welcher hängt an einer
Code-Ähnlichkeit zu VPNFilter, die analytisch erschlossen, nicht
belegt ist?


Wir bauen die Sandworm-Linie als Activity-Thread mit
Konfidenz-Abstufung pro Knoten — NotPetya 2017 als A1 über die
DOJ-Anklage, Industroyer2 2022 als A1 über ESET-Forensik plus
CERT-Ukraine-Validierung, KA-SAT am 24. Februar 2022 als A3 auf
Staaten-Ebene (EU-Rats-Erklärung, „Russian Federation", nicht
„Unit 74455 spezifisch") plus A2 als analytische Brücke. Wir
prüfen das DACH-Kollateral mit der Disziplin, die Diamond
verlangt: bei Beiersdorf bleibt die belastbare Zahl 35 Millionen
Euro Umsatzverschiebung aus der Heidenreich-Telefonkonferenz vom
3. August 2017 — nicht die populäre 210-Millionen-Zahl, die in
keinem Konzernbericht steht. Bei Enercon sind 5.800 ausgefallene
Anlagen mit 11 GW Gesamtleistung durch drei voneinander
unabhängige DACH-Quellen belegt — die Anlagen drehten autark
weiter, ausgefallen war die Fernwartung. Im dritten Akt setzen
wir Diamond gegen MITRE ATT&CK, klären die Komplementarität
an Sandworms MITRE-Eintrag G0034, und jagen Volt Typhoon live
durchs Modell mit fünf Konfidenzgraden für fünf Knoten.


Die Folge argumentiert gegen den Konsens, dass Diamond ein
veraltetes Vier-Punkte-Diagramm sei — und hält sich strikt an den
Wortlaut der Quellen, die in den Fussnoten der Vendor-Decks
stehen, wenn man sie liest. Wir erfinden keine Konfidenz. Wir
machen die in den Quellen dokumentierte sichtbar.


Was du mitnimmst
Ein Threat-Actor-Eintrag im Threat-Intelligence-Platform-Inventar
gegen das volle Diamond prüfen — alle vier Knoten, alle sechs
Kanten, beide Meta-Features. Pro Knoten und pro Kante eine
Konfidenz auf der Admiralty-Skala vergeben statt einer
Sammel-Bewertung pro Eintrag. Diamond-Adversary auf
ATT&CK-Group mappen, Diamond-Capability auf
ATT&CK-Technik. Und intern den Redefinition-Schritt
durchlaufen, wenn eine neue forensische Quelle einen Knoten unter
eine andere Härte stellt — sonst wird das Tracking ein Archiv,
keine Analyse. Pflichtwissen für CTI-Leads, SOC-Analyst:innen und
alle, die staatsnahe Adversary über Jahre hinweg sauber tracken
müssen.


Geschüttelt. Nicht gerührt.