Quando un analista di un SOC riceve centinaia di alert al giorno, il problema non è “questo evento è malevolo?”, ma “in che punto di un’intrusione ci troviamo e quanto è urgente?”. I framework di threat modeling servono esattamente a questo: forniscono un linguaggio comune per collocare un’osservazione all’interno di una campagna, correlare alert apparentemente slegati e prioritizzare la risposta. Tre modelli dominano l’esame CBROPS: Lockheed Martin Cyber Kill Chain, Diamond Model e MITRE ATT&CK. Non sono alternativi: sono lenti complementari sullo stesso fenomeno.

Lockheed Martin Cyber Kill Chain

Il Cyber Kill Chain descrive un’intrusione come una sequenza lineare di 7 fasi che l’attaccante deve completare in ordine:

  1. Reconnaissance — raccolta di informazioni sul bersaglio (OSINT, scansioni port).
  2. Weaponization — creazione del payload (es. documento con exploit).
  3. Delivery — consegna (email di phishing, USB, drive-by).
  4. Exploitation — esecuzione dell’exploit sulla vittima.
  5. Installation — persistenza (backdoor, servizio).
  6. Command and Control (C2) — canale verso l’attaccante.
  7. Actions on Objectives — esfiltrazione, cifratura, movimento laterale.

Il valore difensivo è la linearità: interrompere una fase qualsiasi ferma l’intera catena. Se rilevo il traffico C2, so anche che le fasi precedenti sono già avvenute e vado a caccia dell’artefatto di persistenza. È un modello detection-oriented e ottimo per mappare “dove agiscono i miei controlli”.

Diamond Model

Il Diamond Model non descrive fasi ma la struttura di un singolo evento di intrusione, tramite quattro vertici collegati:

Vertice Significato
Adversary chi conduce l’attacco (attore, gruppo APT)
Capability cosa usa (malware, exploit, tool, TTP)
Infrastructure da dove/con cosa opera (domini C2, IP, redirector)
Victim chi/cosa colpisce (organizzazione, host, asset)

La forza del modello è il pivoting analitico: da un IP C2 (infrastructure) risalgo ad altre vittime che lo contattano, oppure lego una capability nota a un adversary specifico. È il framework più adatto all’attribuzione e all’analisi di campagne APT, dove più eventi-diamante si concatenano nel tempo (activity threads).

MITRE ATT&CK

ATT&CK è una knowledge base empirica del comportamento reale degli attaccanti, organizzata su tre livelli gerarchici da non confondere:

  • Tactics — il “perché”, l’obiettivo dell’attaccante (es. Initial Access, Persistence, Lateral Movement, Exfiltration). Sono le colonne della matrice, con ID TAxxxx.
  • Techniques / Sub-techniques — il “come”, il metodo per raggiungere quella tattica (es. Phishing T1566, Valid Accounts T1078). ID Txxxx.
  • Procedures — l’implementazione concreta osservata di un gruppo specifico.

A differenza del Kill Chain, ATT&CK non è lineare: un attaccante può muoversi avanti e indietro fra le tattiche. È il framework più granulare per la detection engineering, la copertura dei rilevamenti e la mappatura “sappiamo rilevare questa technique?”.

Come si usano nel triage del SOC

  • Kill Chain → risponde “quanto è avanzata l’intrusione?” e guida l’urgenza: un alert in Actions on Objectives è più critico di uno in Reconnaissance.
  • ATT&CK → arricchisce l’alert con tactic/technique, permettendo di correlare eventi e valutare la copertura difensiva.
  • Diamond Model → sostiene il threat intelligence e il pivoting durante l’indagine, per capire se più alert appartengono alla stessa campagna/adversary.

In pratica un buon analista mappa l’evento su ATT&CK, ne stima la profondità con il Kill Chain e usa il Diamond Model per allargare l’indagine e attribuire.

Trappole tipiche d’esame

  • Scenario: “quale modello descrive fasi sequenziali di un attacco?” → Cyber Kill Chain (lineare, 7 fasi). Se lo scenario parla di 4 caratteristiche interconnesse, è Diamond Model, NON Kill Chain.
  • Scenario: domanda cita “adversary, infrastructure, capability, victim” → risposta = Diamond Model. Questi quattro sono i vertici, non fasi: non hanno un ordine.
  • Scenario: “l’analista deve classificare l’obiettivo generale (es. Persistence, Exfiltration)” → è una Tactic di ATT&CK. Se invece descrive il metodo specifico (es. Spearphishing Attachment), è una Technique/Sub-technique. Non invertire i due livelli.
  • Scenario: pivoting da un IP C2 verso altre vittime → capacità tipica del Diamond Model, non del Kill Chain.
  • Scenario: “framework basato sul comportamento reale osservato degli attaccanti per la detection” → MITRE ATT&CK; il Kill Chain è un modello concettuale di fasi, non un catalogo di comportamenti osservati.