Wie es funktioniert
Diese Uncoder AI-Funktion zeigt ihre Fähigkeit, Chronicle UDM-Anfragen zu analysieren und zu validieren, die mehrere domänenbasierte Bedingungen beinhalten. In diesem Beispiel verarbeitet Uncoder AI eine Threat-Hunting-Anfrage, die mit Sandworm (UAC-0133) Aktivitäten verbunden ist, die auf eine Reihe von .sh and .so Domains abzielt.
Die Plattform identifiziert automatisch, dass die Erkennungslogik einen feldbasierten Vergleich on target.hostnamenutzt, ein Standardfeld im Chronicle-Schema von Google SecOps. Die Anfrage verwendet wiederholt ODER-Operatoren, um Übereinstimmungen in einer Liste verdächtiger Hostnamen zu überprüfen — wie zum Beispiel opf.sh, zjk.shund env.so.
Im rechten Panel führt Uncoder AI eine AI-generierte Validierungdurch und zerlegt die Struktur für:
-
Anfragelogik (ODER-Verkettung)
-
Feld-/Werteformatierung
-
Schemaausrichtung
-
Leistungswirkung
Es bestätigt, dass die Syntax gültig ist und empfiehlt Verbesserungen wie die Verwendung eines IN Operators für bessere Leistung.
Warum es innovativ ist
Traditionelle Chronicle-Anfragevalidierung erfordert manuelles Überprüfen von Syntax, Logik und Schema-Genauigkeit — eine zeitaufwändige und fehleranfällige Aufgabe. Uncoder AI ersetzt dies durch Echtzeit-, KI-gesteuerte Validierung und Optimierung,anhand von natürlicher Sprachverarbeitung (NLP) und Logik-Parsing.
Wichtige KI-Beiträge umfassen:
-
Automatische Schema-Erkennung of
target.hostname
-
Leistungsbewusste Vorschläge reduzieren die Anfragen-Ausführungszeit und erleichtern die Wartung der Detection im großen Maßstab.
-
Markierung anomaler Einträge, wie
“3}.sh“, die auf falsch formatierte oder fehlerhafte IOC-Werte hinweisen können
-
Automatische Generierung verbesserter Syntax,mit Empfehlung eines kompakten und lesbaren IN Blocks zur Ersetzung dutzender wiederholter ODERs
Dies reduziert den Aufwand bei der Anfragen-Erstellung und Debugging für Detection Engineers und bleibt vollständig kompatibel mit der Google Chronicle UDM-Anfragestruktur.
Betrieblicher Wert
Für Sicherheitsteams, die in Google SecOps-Umgebungenarbeiten, ermöglicht dieses Feature:
Schnellere Detection Engineering
Sicherheitsanalysten können Domain-Listen sofort in validierte Chronicle-Anfragen umwandeln und manuelles Formatieren überspringen.
Höheres Vertrauen in die Anfragenqualität
Die eingebaute Validierungslogik stellt sicher, dass alle verwendeten Felder schema-konform sind und verdächtige Formatierungen (z. B. fehlerhaft formatierte Domains) zur Überprüfung markiert werden.
Verbesserte Leistungsbereitstellung
Empfehlungen zur Verwendung von IN Operatoren statt langer ODER-Ketten
