Cada intrusión cibernética deja una firma — y el Modelo Diamante para análisis de intrusiones es la herramienta que te permite leerla con precisión. Publicado en 2013 por Sergio Caltagirone, Andrew Pendergast y Christopher Betz en el informe técnico original del Diamond Model of Intrusion Analysis, este marco analítico transformó la inteligencia de amenazas de un ejercicio narrativo e informal en un proceso estructurado y replicable.
El análisis tradicional basado en indicadores pregunta qué ocurrió. El Modelo Diamante pregunta quién lo hizo, con qué herramientas, a través de qué infraestructura y contra quién — simultáneamente. Ese cambio de perspectiva lo cambia todo.
En esta guía aprenderás los cuatro vértices del Modelo Diamante, cómo correlacionar eventos entre campañas y cómo integrar este marco con MITRE ATT&CK para una inteligencia de amenazas accionable.
[ENLACE INTERNO: artículo sobre la guía completa de Inteligencia de Amenazas Cibernéticas (CTI)]
Modelo Diamante análisis de intrusiones Ideas Clave
- El Modelo Diamante estructura cada intrusión en torno a cuatro vértices: Adversario, Infraestructura, Capacidad y Víctima
- Todo evento debe contener al menos datos parciales sobre los cuatro vértices — garantizando completitud analítica
- La correlación entre vértices revela estructuras de campaña que el análisis puntual nunca descubriría
- El vértice del Adversario es el más difícil de completar por las técnicas de evasión de atribución
- Modelo Diamante + MITRE ATT&CK ofrecen contexto estructural y taxonomía granular de TTPs de forma complementaria
- Las brechas de inteligencia se hacen visibles como vértices vacíos o parciales — haciendo la priorización objetiva
Los Cuatro Vértices del Modelo Diamante
El Modelo Diamante se asienta sobre un postulado fundamental: para cada evento de intrusión, un adversario despliega una capacidad a través de una infraestructura para afectar a una víctima. Esa única restricción es lo que hace al modelo tan potente — garantiza completitud estructural incluso cuando algunos campos son desconocidos.
Adversario
El vértice del adversario responde al quién. Abarca la identidad del actor de amenazas, su motivación (espionaje, lucro económico, sabotaje, hacktivismo), origen geográfico, afiliación estatal y historial operacional. Este vértice es casi siempre el más difícil de completar. Los actores sofisticados utilizan falsas banderas, infraestructura efímera y herramientas de uso generalizado específicamente para frustrar la atribución.
No siempre dispondrás de un nombre. Eso es aceptable. Un vértice de adversario parcialmente completado con motivación confirmada e indicadores geográficos sigue siendo analíticamente valioso.
Infraestructura
La infraestructura engloba todo lo que el adversario utiliza para preparar y sostener la intrusión: servidores de mando y control (C2), dominios, direcciones IP, certificados SSL, cuentas en servicios cloud, redes de proxies y servidores legítimos comprometidos como nodos de relay. Una distinción crítica aquí es la infraestructura propia del adversario frente a la infraestructura comprometida de terceros.
Bloquear infraestructura comprometida puede perjudicar a organizaciones inocentes. Tu análisis debe capturar ese matiz.
Capacidad
La capacidad mapea las herramientas, técnicas y procedimientos — los TTPs. Incluye familias de malware específicas, CVEs explotados, técnicas de ingeniería social, métodos de movimiento lateral y canales de exfiltración. Las capacidades operan en tres niveles de abstracción:
- Nivel de herramienta — Cobalt Strike, Mimikatz, implantes personalizados
- Nivel de técnica — procedimientos mapeables directamente en MITRE ATT&CK
- Nivel de táctica — la estrategia general de la intrusión (phishing → movimiento lateral por RDP → exfiltración por DNS)
Los adversarios rotan su infraestructura constantemente. Cambian sus capacidades con mucha menor frecuencia. Esto convierte la capacidad en el vértice más fiable para la correlación de campañas a largo plazo.
Víctima
El vértice de la víctima describe el objetivo de la intrusión: la organización atacada, su sector, geografía, los sistemas comprometidos y las personas específicamente seleccionadas durante las fases iniciales. La víctima se analiza en dos dimensiones — víctima organizacional y víctima personal — y comprender su perfil es esencial para inferir las motivaciones del adversario.
Meta-Features: Profundidad Temporal y Contextual
Las seis meta-features extienden el modelo más allá de instantáneas estáticas hacia secuencias dinámicas:
- Timestamp — marca temporal del evento; esencial para la correlación cronológica
- Phase — fase del ciclo de vida de la intrusión (reconocimiento, acceso inicial, movimiento lateral, exfiltración)
- Result — éxito, fracaso o desconocido
- Direction — del adversario a la víctima o viceversa (p. ej., callback de C2)
- Methodology — método de ataque específico empleado
- Resources — activos adicionales consumidos o producidos por el evento
Enlazar eventos mediante meta-features genera hilos de actividad — la columna vertebral cronológica de una campaña completa reconstruida a partir de eventos individuales.
Modelo Diamante: Correlación de Eventos entre Campañas
Aquí es donde el Modelo Diamante entrega su verdadera ventaja analítica. No analizas un único evento — estás construyendo un grafo de relaciones a través de decenas o cientos de eventos. La correlación puede realizarse a través de cualquier vértice:
Por Infraestructura: Dos eventos que comparten un dominio C2 o un certificado SSL están casi con certeza vinculados. Pivota desde ese nodo compartido y podrías descubrir diez eventos conectados más que no habías detectado. Es el método de correlación más operativamente accesible.
Por Capacidad: Eventos que comparten funcionalidades únicas de malware, certificados de firma de código o cadenas de exploit específicas sugieren un desarrollador u operador común. Es especialmente útil cuando la infraestructura ha sido rotada — algo que los adversarios hacen constantemente.
Por Adversario: La correlación más valiosa y más difícil. Atributos de adversario confirmados (TTPs, patrones operacionales, alias conocidos) conectan campañas a lo largo de años y víctimas. Requiere alta confianza analítica antes de ser afirmada.
Por Víctima: Múltiples eventos dirigidos a la misma víctima o a víctimas con perfiles similares pueden indicar una campaña coordinada o un interés estratégico del adversario en un sector específico. Esta correlación es un indicador adelantado para inteligencia de amenazas predictiva.
Casos de Uso Prácticos para Equipos de Threat Intelligence
Detección de Campañas
Correlacionar eventos por infraestructura y capacidad compartidas permite agrupar intrusiones aparentemente inconexas en campañas. Una serie de brechas en el sector sanitario europeo que comparten el mismo servidor C2 y la misma variante de malware deja de parecer incidentes aislados — y empieza a revelar una operación coordinada de adversario que requiere una respuesta unificada.
Atribución de Ataques
La atribución nunca es binaria. El Modelo Diamante la trata como acumulación de evidencias: cada correlación que apunta al mismo adversario añade confianza; las contradicciones generan hipótesis alternativas. Este enfoque probabilístico y documentado se sostiene tanto en briefings internos como en comunidades de intercambio de inteligencia como la plataforma MISP para compartir inteligencia de amenazas.
Identificación de Brechas de Inteligencia
Visualizar eventos como diamantes hace que las brechas sean evidentes. Un vértice de adversario vacío señala una pregunta de atribución abierta. Un vértice de infraestructura parcialmente conocido implica la necesidad de más análisis de pivote. La identificación de brechas es una herramienta de planificación — te dice dónde focalizar las horas de analista limitadas.
Predicción de Amenazas
Los patrones a través de múltiples diamantes revelan el comportamiento del adversario en el tiempo. Si un grupo APT ha atacado sistemáticamente infraestructuras SCADA del sector energético mediante spear-phishing seguido de despliegue de implantes personalizados, puedes anticipar el perfil de su próxima operación con confianza razonable — y comunicar a los defensores del sector exactamente qué priorizar.
Integración del Modelo Diamante con MITRE ATT&CK
El Modelo Diamante y MITRE ATT&CK no son competidores — son capas complementarias del mismo stack analítico. ATT&CK proporciona la taxonomía granular de TTPs; el Modelo Diamante aporta la estructura relacional que sitúa esos TTPs en contexto adversarial.
La integración funciona así:
- Las técnicas ATT&CK se mapean directamente al vértice de Capacidad
- Las tácticas ATT&CK se corresponden con la meta-feature Phase
- Las entradas de software de ATT&CK enriquecen el vértice del Adversario con asociaciones de herramientas conocidas
- Los perfiles de grupos de ATT&CK complementan los atributos del vértice del adversario con historial conductual documentado
El resultado práctico: puedes usar los clústeres de grupos de MITRE ATT&CK como base objetiva para la correlación por capacidad. Dos eventos que emplean T1566.001 (Spearphishing Attachment) y T1059.001 (PowerShell) con el mismo patrón de ofuscación de payload forman un clúster de capacidad que merece investigación — independientemente de si la infraestructura se solapa.
Según las directrices de análisis de inteligencia de amenazas de CISA, combinar modelos estructurales con marcos de TTPs se considera mejor práctica para el análisis de amenazas en infraestructuras críticas y organismos federales.
Experiencias Reales de Analistas con el Modelo Diamante
Marcos T., Analista Sénior de Threat Intelligence en una institución financiera del IBEX 35 (equipo de seguridad de 80 personas):
«Teníamos seis informes de incidente completamente inconexos — distintas unidades de negocio afectadas, familias de malware diferentes, marcos temporales distintos. Cuando los representamos como diamantes y pivotamos por infraestructura, descubrimos que todos remitían a los mismos dos dominios C2 registrados con 48 horas de diferencia. Ahí fue cuando nos dimos cuenta de que no estábamos ante seis incidentes. Estábamos ante una campaña coordinada. El Modelo Diamante nos obligó a hacer la pregunta que habíamos estado obviando.»
Elena V., Threat Hunter en un CERT nacional europeo (equipo gubernamental de ~80 personas):
«Lo que más transformó mi flujo de trabajo fue la visualización de brechas de inteligencia. Antes escribía informes narrativos sin saber qué me faltaba. Ahora, cuando construyo un diamante con el vértice del adversario vacío, eso es una tarea — va al plan de recolección. El modelo hizo legibles nuestros puntos ciegos analíticos.»
Preguntas Frecuentes
P1: ¿Qué es el Modelo Diamante de análisis de intrusiones?
El Modelo Diamante es un marco analítico formal publicado en 2013 por Caltagirone, Pendergast y Betz. Estructura cada intrusión cibernética en torno a cuatro vértices — Adversario, Infraestructura, Capacidad y Víctima — permitiendo la correlación sistemática de eventos y la atribución de campañas.
P2: ¿En qué se diferencia el Modelo Diamante del Cyber Kill Chain?
El Cyber Kill Chain de Lockheed Martin describe las fases de una intrusión de forma secuencial. El Modelo Diamante describe las relaciones de la intrusión de forma estructural. Son marcos complementarios: el Kill Chain mapea la línea temporal, el Modelo Diamante mapea los actores y sus conexiones.
P3: ¿Puede usarse el Modelo Diamante sin atribución completa del adversario?
Sí — y es así por diseño. Los diamantes parciales con vértices de adversario desconocidos son analíticamente válidos. Los eventos pueden correlacionarse por infraestructura y capacidad aunque la atribución no esté confirmada, y el modelo ayuda a registrar los niveles de confianza de forma explícita.
P4: ¿Cómo se integra el Modelo Diamante con las plataformas SIEM?
La mayoría de los SIEM empresariales (Splunk, Microsoft Sentinel, IBM QRadar) no implementan el Modelo Diamante de forma nativa, pero los datos estructurados del Modelo pueden representarse en formato STIX 2.1 e ingestarse mediante feeds TAXII. Plataformas como OpenCTI para gestión de inteligencia de amenazas ofrecen soporte nativo del Modelo Diamante.
P5: ¿Es el Modelo Diamante adecuado para equipos de seguridad pequeños?
Absolutamente. Incluso un equipo de dos personas puede aplicarlo a incidentes individuales sin escalar a correlación de campaña completa. El marco escala desde el análisis de un único evento hasta programas de threat intelligence de nivel empresarial.
P6: ¿Dónde puedo encontrar el informe técnico original del Modelo Diamante?
El informe técnico original de 2013 de Caltagirone, Pendergast y Betz está disponible de forma gratuita y es de acceso público.
Conclusión Modelo Diamante análisis de intrusiones
El Modelo Diamante para análisis de intrusiones hace algo engañosamente sencillo: insiste en que cada intrusión es una relación, no simplemente un evento. Ese cambio obliga a los analistas a pensar de forma estructural — preguntando no solo qué ocurrió, sino quién se conectó a qué, a través de qué infraestructura, contra quién y con qué motivación.
En un entorno donde los adversarios operan con sofisticación creciente y los volúmenes de alertas hacen imposible el reconocimiento de patrones sin estructura, el enfoque disciplinado del Modelo Diamante es más necesario que nunca. Combínalo con MITRE ATT&CK para profundidad en TTPs, intégralo en tu plataforma de threat intelligence y usa el mecanismo de identificación de brechas para guiar tu planificación de recolección.
Tu próxima correlación de campaña ya está en tus datos. El Modelo Diamante es cómo la encuentras.
→ ¿Quieres ir más lejos? Consulta nuestro nuestra WEB para más articulos sobre ciberseguridad y ciberdefensa.
