Модель Diamond
Простыми словами
Проще говоря, «Модель Diamond» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «Модель Diamond» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
При формулировании гипотезы threat hunter опирается на понятие «Модель Diamond», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.
Не путать с
- Pyramid of PainPyramid of Pain — модель ценности индикаторов для противника: чем сложнее изменить индикатор, тем болезненнее его блокирование.
- Анализ связейАнализ связей — выявление отношений между сущностями: индикаторами, инфраструктурой, группами, кампаниями и событиями.
- Поиск по индикаторамПоиск по индикаторам — выявление в среде совпадений с известными индикаторами компрометации.
Как это работает
- Поставить аналитический вопросДля «Модель Diamond» заранее определяют, какое решение должен поддержать результат.
- Собрать и проверить данныеИсточники оценивают по происхождению, времени, достоверности и применимости.
- Построить гипотезуНаблюдения связывают с инфраструктурой, поведением, противником и контекстом организации.
- Операционализировать выводРезультат «Модель Diamond» превращают в поиск, приоритет защиты или изменение обнаружения.
Частые вопросы
Проще говоря, «Модель Diamond» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Модель Diamond» применяют на практике?В практике ИБ термин «Модель Diamond» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Модель Diamond» отличается от близких понятий?«Модель Diamond» описывает следующее: аналитическая модель, связывающая противника, возможности, инфраструктуру и жертву в событии вторжения. «Pyramid of Pain» означает: модель ценности индикаторов для противника: чем сложнее изменить индикатор, тем болезненнее его блокирование. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.