什么是钻石模型？给黑客画像的四块拼图

首页 › glossary › 什么是钻石模型？给黑客画像的四块拼图

钻石模型，说白了就是给黑客攻击画的一张“标准破案图”——任何一次网络入侵，都能拆成四个关键问题：谁干的？用什么干的？走的哪条路？打的谁？四个点连起来恰好是一个菱形，所以叫“钻石模型”。

你可能没听说过它，但如果你刷到过“某APT组织攻击某运营商”“黑客团伙勒索某企业”这类新闻，背后支撑安全专家下结论的方法论，十有八九就是它。尤其是最近两年，勒索软件和APT攻击（APT，高级持续性威胁，说白了就是由国家背景或专业团伙实施的“长期潜伏式”黑客行动）盯上了电信、能源这些关键行业，企业安全圈对“攻击画像”的需求暴涨，这张2013年就画出来的老图，正在迎来它的第二春。

钻石模型是什么？——网络世界的破案四要素
为什么最近这么火？——从“看见告警”到“看懂团伙”
一张图看懂——四要素拼图与顺藤摸瓜
和我有什么关系？——普通人、从业者、管理者各看一眼
一分钟总结
延伸阅读 + 参考来源

第一节：钻石模型是什么？

一个刑侦类比先讲明白

想象一起银行劫案，警察要搞清楚四件事：

嫌疑人是谁（幕后主使还是惯犯团伙）？
凶器是什么（用枪还是用炸药）？
逃跑路线是哪条（开的什么车、走的哪条路）？
受害人是谁（为什么是他）？

网络世界的攻击，结构和这完全一样。钻石模型就是把这四件事固定成四个顶点，画成一个菱形：

对手（Adversary）：躲在幕后的攻击者。可能是境外黑客组织、雇佣兵式的勒索团伙，甚至是拿了权限的内部员工。就像电视剧里的“幕后主使”，通常不直接露面。
能力（Capability）：攻击者手里的“武器库”——恶意软件、漏洞利用代码、钓鱼邮件模板、勒索病毒。相当于案发用的那把“枪”。
基础设施（Infrastructure）：攻击路上用到的“路和车”——控制服务器（C2，Command and Control，就是黑客远程指挥木马的“司令部”）、钓鱼域名、跳板机、被黑掉当垫背的网站。相当于劫匪逃跑用的面包车和路线。
受害者（Victim）：被攻击的目标——你的手机、公司的服务器、运营商的核心网。

四个顶点之间用“边”连接，每条边都有含义，这就要说到它的两个元特征（可以理解为“边上的标签”）：

技术元特征：四要素之间靠什么技术连起来——IP地址、域名、协议、恶意代码特征。这是机器能自动比对的部分。
社会-政治元特征：对手和受害者之间的“冲突关系”——他为什么攻击你？为了钱？为了偷商业机密？还是为了炫耀？这一条回答的是“动机”。

它到底解决什么问题？

一句话：线索太碎，需要整理术。

一个中大型企业的安全运营中心（SOC，安全监控值班室）每天产生的告警成千上万条：可疑登录、异常流量、恶意文件……单看每一条都是碎片。钻石模型的价值在于给每个碎片一个“抽屉”：

这条线索是关于“基础设施”的 → 放进基础设施抽屉；这个文件是“能力”层面的 → 放进能力抽屉。

抽屉归好类，碎片就能开始连线。更妙的是它提供了一个被称为轴转（Pivot）的分析动作——从一个顶点跳到另一个顶点继续挖。比如：

从一封钓鱼邮件（基础设施）出发 → 查这个发件域名还发给过谁（受害者）→ 查这个域名历史上还挂过哪些木马（能力）→ 分析木马代码风格，像不像某个已知团伙的手笔（对手）。

这就是数字世界的“顺藤摸瓜”。藤的每一节都是钻石的一个顶点，摸到底，就能把孤立的几次攻击连成一个团伙的完整画像。

第二节：为什么最近这么火？

钻石模型其实是个“老同志”——2013年由Sergio Caltagirone、Andrew Pendergast和Christopher Betz三位安全研究者正式提出。老框架重新翻红，背后有四个很现实的推力：

第一，攻击频率和复杂度都上来了。这两年勒索软件围猎运营商、APT组织长期潜伏关键信息基础设施的事件屡见报端。企业安全团队发现，光“看见告警”没用，必须回答董事会追问的那句“到底是谁、冲着什么来的”——这正是钻石模型的看家本领：归因（把攻击算到某个团伙头上）和关联（把多起看似无关的事件串成一串）。

第二，威胁情报产业已经成熟，需要“整理框架”。如果你看过前面几期的“威胁情报IOC（网络世界的通缉令）”和“STIX标准（威胁情报的通用语言）”就会明白：情报有了、格式统一了，接下来自然要问“这些情报怎么组织起来破案”。钻石模型正是业内公认的整理框架之一——IOC是证物，STIX是证物袋，钻石模型是案情分析板。

第三，AI研判需要结构化输入。这是最有时代感的一条。大模型进入安全运营后，机器要自动做攻击研判，就需要把模糊的告警变成结构化的“事件描述”。钻石模型的四要素天然就是一份结构化模板：对手是谁、能力是什么、走了哪条路、打的是谁。不少新一代安全产品把这套模型当作喂给AI的“标准案情格式”，让AI学着像老侦探一样轴转分析。

第四，国内攻防演练的普及。这些年实网攻防演练成了企业安全的年度大考，赛后复盘是重头戏。复盘报告怎么写？四个顶点一摆：红队怎么进来的（基础设施）、用了什么工具（能力）、打穿了哪台机器（受害者）、体现了哪类攻击思路（对手画像）——钻石模型几乎就是复盘报告的默认骨架。

一句话总结这波热度：安全行业正在从“堆设备”转向“会破案”，而钻石模型就是破案的人门心法。

第三节：一张图看懂

先看钻石本尊——一次攻击事件的四要素关系：

flowchart TD
    ADV["对手：幕后主使<br/>谁干的？"]
    CAP["能力：攻击武器<br/>用什么干？"]
    INF["基础设施：路径<br/>走哪条路？"]
    VIC["受害者：目标<br/>打的谁？"]
    ADV --> CAP
    ADV --> INF
    CAP --> VIC
    INF --> VIC
    ADV <-->|社会政治：动机| VIC
    CAP <-->|技术：代码与路径| INF

读图要点：

四个顶点构成菱形，任何一次入侵事件都必须能在这四个点上“落位”，缺一角就说明情报还有盲区；
竖着的两条双向边是元特征：对手与受害者之间是“动机”（社会政治），能力与基础设施之间是“技术”；
安全分析师的日常，就是不断用新线索去填这四个格子。

再看实战中最常用的轴转破案法——从一条线索出发，沿菱形顶点顺藤摸瓜：

flowchart TD
    S["发现一封钓鱼邮件"]
    P1["查发件域名<br/>基础设施"]
    P2["域名还发给过谁<br/>受害者"]
    P3["域名历史挂过什么马<br/>能力"]
    P4["代码风格像哪个团伙<br/>对手画像"]
    R["多起事件连线<br/>锁定同一团伙"]
    S --> P1
    P1 --> P2
    P2 --> P3
    P3 --> P4
    P4 --> R

每跳一步，就在钻石的另一个顶点上落一脚。跳得越多，画像越清晰——这就是它被安全分析师用了十几年还不过去的原因：简单，但极其能打。

第四节：和我有什么关系？

如果你是普通人：

以后刷到“黑客组织攻击某某公司”的新闻，你可以用四个顶点快速看懂报道：有没有点名对手？有没有披露用的木马和漏洞（能力）？有没有提到跳板和钓鱼域名（基础设施）？受害者损失在哪？你会发现很多报道只填了一两个顶点，剩下的都是猜——这就是判断“新闻是真爆料还是标题党”的小工具。顺带一提，你自己收到的那封钓鱼邮件，本质上就是对手的“基础设施”探到了你这个“受害者”门口，举报拉黑，就是在切断那条边。

如果你是从业者：

钻石模型是SOC分析师的“普通话”——事件报告按四要素写，是行业默契；安全面试里，它和杀伤链、ATT&CK（这两个此前已单独讲过）一起被称为必考三件套。三者的分工可以用一句话记牢：杀伤链回答“攻击分几步”（时间轴），ATT&CK回答“每一步有什么手法”（手法库），钻石模型回答“这一击是谁用什么打的谁”（关系图）。三者不是竞争关系，而是同一起案子的三种切片。

如果你是管理者或投资者：

看懂它，就能看懂安全厂商的宣传话术。市面上威胁情报平台、XDR、AI安全助手的产品介绍里，凡是要做“攻击归因”“团伙画像”“事件关联”的，底层都绕不开这套模型。判断一家安全公司的研判产品是真有货还是炒概念，一个简单办法：看它输出的报告能不能稳定落位到四个顶点——落不了位的，多半是把告警换个皮再卖给你。

小白能做的三件事：

转发这篇给做运维、做IT的朋友——这可能是他们今年性价比最高的一次方法论升级；
动手练一次：拿最近一起公开报道的攻击事件，试着把线索填进四个顶点，填不上的格子就是“情报盲区”；
留意岗位机会：威胁情报分析师、安全运营工程师岗位的JD（职位描述）里，“钻石模型”“攻击归因”“事件关联”出现的频率越来越高，这是安全行业确定性很强的一个职业方向。

第五节：一分钟总结

钻石模型是把每次网络攻击拆成四个顶点的分析框架：对手、能力、基础设施、受害者。
四个顶点连成菱形，两条边是“动机”（社会政治）和“技术”两个元特征。
它的核心玩法是轴转：从一条线索沿顶点反复横跳，把孤立事件串成团伙画像。
它与杀伤链、ATT&CK互为补充：一个看时间、一个看手法、一个看关系。
AI安全研判正在用它做“标准案情格式”——2013年的老图，是AI时代安全分析师的新语言。

参考来源

The Diamond Model of Intrusion Analysis（原论文，Caltagirone等，2013） — 模型的原始出处，四要素与轴转分析的权威定义
Diamond model of intrusion analysis - Wikipedia — 模型提出背景与要素综述
The Diamond Model of Intrusion Analysis - ThreatExpress — 面向实战分析师的模型应用解读

注：文中模型定义、四要素与元特征表述以2013年原论文为准；涉及近期行业趋势的描述为对公开报道的归纳，未指向特定未公开事件。

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。

51学通信知识星球海报-扫码加入