El modelo del diamante

El diamante coloca una intrusión en cuatro esquinas unidas. Adversario: quién está detrás, designado por su conducta. Capacidad: lo que sabe hacer —el señuelo de factura, la tarea RetailSync, el latido de 90 segundos—. Infraestructura: desde dónde lo hace —el dominio del canal de mando, las IP que rotan—. Víctima: a quién ataca —cadenas de tiendas, por el correo de proveedores—. Poner cada dato en su vértice obliga a ver la intrusión completa, no solo el indicador que saltó primero.

El modelo no inventa datos nuevos: ordena los que ya tienes de forma que se vean las cuatro caras de un ataque a la vez, y los huecos que faltan por llenar.

Dos vértices se confunden a menudo: capacidad e infraestructura. Capacidad es lo que el actor SABE hacer —sus técnicas y herramientas: el señuelo, la tarea de persistencia, el patrón del latido—. Infraestructura es desde DÓNDE lo hace —sus dominios, sus IP, sus servidores—. La distinción importa porque pesan distinto: la infraestructura la cambia barato (rota una IP en un día), la capacidad le cuesta más (reaprender una técnica). Meter el dominio del canal de mando en «capacidad» o la técnica del latido en «infraestructura» desdibuja justo lo que la pirámide del dolor enseñó a separar.

La capacidad viaja con el actor aunque mude de servidor; la infraestructura es el servidor. Confundirlas borra qué le cuesta cambiar.

La fuerza del modelo no es clasificar: es pivotar. Ánfora conoce la infraestructura —el dominio del latido— y desde ahí llega a una capacidad nueva: observa que ese dominio sirve, además, la segunda herramienta que el actor descarga tras entrar (T1105), que no había mapeado. De un vértice conocido se descubre otro. Igual podría ir de una víctima a la infraestructura (qué dominios resolvió ese equipo) o de una capacidad a otras víctimas (quién más ha visto ese mismo señuelo). El diamante convierte un dato en una palanca para encontrar los que faltan.

Un vértice lleno es una puerta a los otros tres. Perfilar es ir saltando por el diamante hasta que las cuatro caras se completan.

Es tentador tratar a la víctima como un detalle del caso y no como parte del perfil del actor. El modelo la pone como vértice de pleno derecho porque el patrón de víctimas dice mucho: que las tres sean cadenas de tiendas atacadas por el correo de proveedores no es casualidad, es el blanco que el actor elige. Ese patrón es inteligencia —permite avisar a otras cadenas, reforzar ese canal en todas— y a veces es lo que ata una intrusión nueva a un actor conocido: mismo tipo de víctima, mismo método de entrada.

El perfil de a quién ataca un actor es tan parte de él como sus herramientas. Un patrón de víctimas repetido es una firma más.

Abre el diamante del actor en la plataforma. La plataforma registró un pivote entre dos vértices: partiendo de la infraestructura conocida llegó a una capacidad que no estaba mapeada. Abre ese pivote y lee el código que la plataforma le asignó.