El modelo del diamante — cuatro lados de cada evento

El modelo de Caltagirone, Pendergast y Betz (2013) toma como unidad el evento: algo que hace un atacante a una víctima en un momento, con unos medios. Cada evento se describe con cuatro características: el adversario, quien actúa; la capacidad, lo que usa para actuar; la infraestructura, lo que utiliza para llegar a la víctima; y la víctima, a quien va dirigido.

Lo que no se sabe no se inventa: se anota como desconocido y se sigue. Abre el laboratorio y mira la tabla de eventos. En EV-1, un correo salió desde un servidor de correo de internet.

En una lectura rápida es fácil poner un nombre propio a quien hay detrás de un caso y cerrar la nota. El modelo obliga a lo contrario: ese lado se rellena solo con evidencia, y quien lleva dos años leyendo informes de amenazas sabe que se atribuye con mucho menos de lo que se cree.

En los cuatro eventos del laboratorio, un lado del diamante está igual en todos.

La utilidad práctica del diamante es el salto: de un lado que se conoce a otro que no. Con la infraestructura de un evento se busca en los registros de la empresa quién más habló con ella. Es lo que en el trabajo se llama pivotar, y encuentra víctimas que ninguna alerta había señalado.

En el laboratorio, la dirección del servidor de EV-2 y EV-3 ya está identificada. Falta saber quién más habló con ella.

EV-1 y EV-4 usan el mismo adjunto, el mismo hash, pero salieron de servidores de correo distintos y llegaron a víctimas distintas. El modelo permite agrupar eventos que comparten un lado, y lo que se hace con ese agrupamiento es una hipótesis hasta que haya más evidencia.

EV-4 lleva el resultado «bloqueado por la pasarela». Es una de las metacaracterísticas que el modelo propone anotar en cada evento, junto con la fase, la hora y otras. Hay quien lo quita del informe porque no pasó nada: es un error, porque un intento bloqueado sigue diciendo cosas del adversario.