So funktioniert es
Uncoder AI nimmt strukturierte Erkennungsinhalte, die in Sigma, einem beliebten offenen Erkennungsregel-Format, geschrieben sind, und konvertiert sie automatisch in plattformspezifische Logik — in diesem Fall CrowdStrike Endpoint-Suchsyntax.
Die Sigma-Regel beschreibt eine Technik, bei der Deno (eine sichere JavaScript-Laufzeitumgebung) potenziell bösartige DLLs über HTTP(S) direkt in Verzeichnisse wie AppData or Users.
Linke Seite – Sigma-Erkennungsregel:
Die Regel spezifiziert:
- Logquelle: Windows-Dateiereignisse
- TargetFileName-Bedingungen: Übereinstimmende Dateipfade wie
\deno\gen,\deno\remote\https,\Users\, oder\AppData\
MITRE-Tags: Ausführung, Command-and-Control (T1059.007, T1105)
Rechte Seite – CrowdStrike-Abfrageausgabe:
Uncoder AI generiert gleichwertige Logik mithilfe der CrowdStrike-Abfragesyntax. Es behält die gleiche Verhaltenslogik (verdächtige Deno-Dateipfade) bei, während es übersetzt:
- YAML-Felder in CrowdStrike-kompatible Felder wie
TemporaryFileNameandTargetFileName - Logisches Verschachteln (
or,and) und Regex-Stil Pfadabgleich - Vollständige Erhaltung der Erkennungsabsicht und -struktur
Warum es innovativ ist
Die manuelle Regelkonvertierung über Plattformen hinweg ist mühsam, fehleranfällig und erfordert oft detailliertes, herstellerspezifisches Wissen. Mit Uncoder AI:
- Plattformübergreifende SIEM-Erkennungslogik wird automatisch normalisiert und konvertiert
- Regex, Dateipfadsymbolik und logische Bedingungen werden präzise beibehalten
- Zeit bis zur Bereitstellung wird von Stunden auf Sekunden reduziert
Auf Plattformsyntaxregeln trainierte LLMs sorgen dafür, dass die konvertierte Ausgabe die Abfragebeschränkungen jedes Anbieters respektiert, während sie mit dem ursprünglichen Erkennungsverhalten übereinstimmt.
Betriebswert
Für Erkennungsingenieure und SOC-Teams bietet dieses Feature:
- Schnelle Inhaltswiederverwendung über heterogene Sicherheitsstapel hinweg (z. B. SOCs, die sowohl Sigma als auch CrowdStrike verwenden).
- Erhaltene Erkennungsqualität dank semantikbewusster KI-Übersetzung.
- Skalierbare Bedrohungsabdeckung ohne Vervielfältigung des technischen Aufwands pro Plattform.
- Geringere Einarbeitungskurve für Junior-Analysten, die mit der CrowdStrike-Syntax nicht vertraut sind.
Uncoder AI befähigt Organisationen, Sigma-Inhalte sofort in CrowdStrike-Umgebungen zu operationalisieren und so mit gegnerischen Techniken Schritt zu halten, wie der Deno-basierten Remote-Ausführung.
