מבנה היהלום (Diamond Model) – ניתוח מתקפות סייבר באמצעות יחסי גומלין​

מבנה היהלום (Diamond Model of Intrusion Analysis) הוא מודל אנליטי מרכזי בתחום אבטחת המידע והמודיעין הקיברנטי, המאפשר להבין מתקפות סייבר לא רק כרצף פעולות טכני, אלא כמערכת של יחסים בין שחקנים, כלים ותשתיות.

ארבעת המרכיבים המרכזיים של מבנה היהלום הם:

1. 1Adversary – התוקף
2. Capability – היכולת
3. Infrastructure – התשתית
4. Victim – הקורבן

המודל מבוסס על ההנחה כי כל אירוע תקיפה הוא תוצאה של אינטראקציה בין ארבעת המרכיבים הללו, וכי ניתוח הקשרים ביניהם מאפשר הבנה עמוקה של המתקפה והשלכותיה.

הסבר מרכיבי מבנה היהלום

1. Adversary – התוקף
מרכיב זה מייצג את הגורם העוין המבצע את המתקפה. התוקף יכול להיות מדינה, קבוצת APT, ארגון פשיעה או גורם יחיד. הניתוח מתמקד במוטיבציות, במשאבים, ברמת התחכום ובדפוסי פעולה חוזרים, אשר מסייעים בייחוס מתקפות ובהבנת ההקשר האסטרטגי שלהן.

2. Capability – היכולת
היכולת מתארת את הכלים, הקוד והטכניקות שבהם עושה התוקף שימוש לצורך ביצוע המתקפה. אלה כוללים נוזקות, Exploits, כלים אוטומטיים וטכניקות תקיפה שונות. מרכיב זה עונה על השאלה כיצד בוצעה המתקפה בפועל.

3. Infrastructure – התשתית
התשתית כוללת את המשאבים הטכניים המאפשרים את ביצוע המתקפה ואת הקשר בין התוקף לקורבן. דוגמאות לכך הן שרתי Command & Control, דומיינים, כתובות IP ושירותי ענן. ניתוח התשתית מאפשר לעיתים קישור בין אירועי תקיפה שונים ואף ייחוס של קמפיינים רחבים.

4. Victim – הקורבן
הקורבן הוא היעד של המתקפה, כגון ארגון, מערכת או משתמש. ניתוח הקורבן כולל בחינה של המגזר הארגוני, המיקום הגיאוגרפי והטכנולוגיות בשימוש, ומסייע להבין מדוע נבחר יעד מסוים ומהם הסיכונים העתידיים.

השוואה בין Cyber Kill Chain למבנה היהלום

מודל Cyber Kill Chain ומבנה היהלום מייצגים שתי תפיסות משלימות לניתוח מתקפות סייבר. ה-Kill Chain מתאר מתקפה כרצף ליניארי של שלבים, החל מאיסוף מודיעין ועד להשגת מטרות התקיפה. מודל זה יעיל במיוחד לזיהוי מוקדם של מתקפות וליישום מנגנוני הגנה בכל שלב בשרשרת.

לעומתו, מבנה היהלום אינו מתמקד ברצף הזמן של המתקפה, אלא ביחסים בין הגורמים המעורבים בה – התוקף, היכולת, התשתית והקורבן. מודל זה מתאים במיוחד לניתוח עומק, ייחוס מתקפות (Attribution) וקישור בין אירועים שונים לאותו קמפיין תקיפה.

ביישום מעשי, שילוב שני המודלים מאפשר הבנה מלאה יותר של המתקפה: ה-Kill Chain מספק את הממד התהליכי של איך המתקפה מתקדמת, בעוד שמבנה היהלום מספק את הממד האנליטי של מי, באילו אמצעים ו-מדוע.


ערך אנליטי ויישומי

ייחודו של מבנה היהלום הוא ביכולת להסיק מסקנות גם כאשר המידע חלקי. שינוי באחד ממרכיבי המודל עשוי להעיד על שינוי באחרים, ולאפשר זיהוי קמפיינים מתמשכים וחיזוי מתקפות עתידיות.


---

סיכום

מבנה היהלום מספק מסגרת חשיבתית מתקדמת לניתוח מתקפות סייבר, תוך התמקדות ביחסים בין תוקף, יכולות, תשתית וקורבן. בשילוב עם מודלים כגון Cyber Kill Chain, הוא מאפשר לאנשי אבטחת מידע, אנליסטים וחוקרים להבין לא רק את רצף הפעולות הטכני, אלא גם את ההקשר הרחב של האיום הקיברנטי.
​