Das Diamond Model

Wenn die Karikatur das Modell ersetztElf. Vier. Sechs. Elf Bestandteile hat das Diamond Model von Caltagirone, Pendergast und Betz aus dem Jahr 2013 — vier Knoten, sechs Kanten, zwei Meta-Features, sieben Axiome. Vier davon kennt jede Vendor-Folie. Sechs der elf Bestandteile fallen in der Industrie-Lesart regelmässig unter den Tisch. Das ist die Karikatur, vor der Caltagirone selbst im Summary-Paper von 2020 warnt.In der fünften Sach-Folge zerlegen wir das Werkzeug in seiner vollen Tiefe — vier Knoten plus sechs bidirektionale Kanten, plus die Meta-Features Social-Political und Technology, plus die sieben Axiome. Wir machen es am härtesten Demonstrationsfall der westlichen Cyber-Threat-Intelligence: Sandworm, von Mandiant 2024 zu APT44 promoviert, mit einem Activity-Thread von BlackEnergy 2014 bis Industroyer2 2022. Was bedeutet das Social-Political-Meta-Feature, wenn es in den meisten Vendor-Reports ein weisser Fleck bleibt? Welcher Knoten in einem Sandworm-Profil trägt die forensische Härte einer US-Justizministerium-Anklage mit sechs namentlich genannten Offizieren der Unit 74455 — und welcher hängt an einer Code-Ähnlichkeit zu VPNFilter, die analytisch erschlossen, nicht belegt ist?Wir bauen die Sandworm-Linie als Activity-Thread mit Konfidenz-Abstufung pro Knoten — NotPetya 2017 als A1 über die DOJ-Anklage, Industroyer2 2022 als A1 über ESET-Forensik plus CERT-Ukraine-Validierung, KA-SAT am 24. Februar 2022 als A3 auf Staaten-Ebene (EU-Rats-Erklärung, „Russian Federation", nicht „Unit 74455 spezifisch") plus A2 als analytische Brücke. Wir prüfen das DACH-Kollateral mit der Disziplin, die Diamond verlangt: bei Beiersdorf bleibt die belastbare Zahl 35 Millionen Euro Umsatzverschiebung aus der Heidenreich-Telefonkonferenz vom 3. August 2017 — nicht die populäre 210-Millionen-Zahl, die in keinem Konzernbericht steht. Bei Enercon sind 5.800 ausgefallene Anlagen mit 11 GW Gesamtleistung durch drei voneinander unabhängige DACH-Quellen belegt — die Anlagen drehten autark weiter, ausgefallen war die Fernwartung. Im dritten Akt setzen wir Diamond gegen MITRE ATT&CK, klären die Komplementarität an Sandworms MITRE-Eintrag G0034, und jagen Volt Typhoon live durchs Modell mit fünf Konfidenzgraden für fünf Knoten.Die Folge argumentiert gegen den Konsens, dass Diamond ein veraltetes Vier-Punkte-Diagramm sei — und hält sich strikt an den Wortlaut der Quellen, die in den Fussnoten der Vendor-Decks stehen, wenn man sie liest. Wir erfinden keine Konfidenz. Wir machen die in den Quellen dokumentierte sichtbar.Was du mitnimmstEin Threat-Actor-Eintrag im Threat-Intelligence-Platform-Inventar gegen das volle Diamond prüfen — alle vier Knoten, alle sechs Kanten, beide Meta-Features. Pro Knoten und pro Kante eine Konfidenz auf der Admiralty-Skala vergeben statt einer Sammel-Bewertung pro Eintrag. Diamond-Adversary auf ATT&CK-Group mappen, Diamond-Capability auf ATT&CK-Technik. Und intern den Redefinition-Schritt durchlaufen, wenn eine neue forensische Quelle einen Knoten unter eine andere Härte stellt — sonst wird das Tracking ein Archiv, keine Analyse. Pflichtwissen für CTI-Leads, SOC-Analyst:innen und alle, die staatsnahe Adversary über Jahre hinweg sauber tracken müssen.Geschüttelt. Nicht gerührt.