Wie es funktioniert
1. IOC-Extraktion aus dem Bedrohungsbericht
Uncoder AI analysiert und kategorisiert automatisch Indikatoren aus dem Vorfallbericht (links), darunter:
-
Bösartige Domains, wie zum Beispiel:
-
mail.zhblz.com
-
docs.google.com.spreadsheets.d.l1p6eeakedbmwteh36vana6hu-glaekssht-boujdk.zhblz.com
-
doc.gmail.com.gyehdhhrggdi1323sdnhnsiwvh2uhdqjwdhhfjcjeuejcj.zhblz.com
-
Diese Domains sind mit Phishing-Dokumenten, gefälschten Anmeldeportalen und Datenexfiltrationsendpunkten verbunden.
2. Kompatible Abfrageerstellung mit SentinelOne
Rechts gibt Uncoder AI eine SentinelOne-Ereignisabfrage unter Verwendung der DNS in contains anycase Syntax aus:
DNS in contains anycase (
"docs.google.com.spreadsheets.d.l1p6eeakedbmwteh36vana6hu-glaekssht-boujdk.zhblz.com",
"mail.zhblz.com",
"doc.gmail.com.gyehdhhrggdi1323sdnhnsiwvh2uhdqjwdhhfjcjeuejcj.zhblz.com"
)
-
Operator: contains anycase garantiert, dass die Erkennung nicht zwischen Groß- und Kleinschreibung unterscheidet und verschiedene DNS-Log-Variationen behandelt.
-
Feld: DNS zielt auf Auflösungsereignisse ab und ist ideal, um Domainabfragen zu entlarven, die mit Malware oder Phishing-Links verbunden sind.
Anwendungsfall: Untersuchen Sie DNS-Abfragen, die von powershell.exe , browser.ps1 , oder zapit.exe .
Warum es nützlich ist
-
Kein Formatierungsaufwand: Lange Subdomain-Ketten werden automatisch für die korrekte Übereinstimmung formatiert.
-
Sofortige IOC-Bereitstellung: Analysten können die Abfrage direkt in SentinelOne ausführen, um infizierte Hosts oder Beaconing-Verhalten zu identifizieren.
Hohes Signal-Rausch-Verhältnis: Konzentriert sich nur auf von Angreifern genutzte Infrastruktur und minimiert Fehlalarme.
Operative Vorteile
Für SentinelOne-Benutzer ermöglicht diese Funktion:
-
Schnelleres Threat Hunting
Keine Notwendigkeit, Domains-Abfragen manuell zu erstellen – Uncoder AI erledigt es aus jedem Bedrohungsbericht.
-
Sofortige IOC-Durchsetzung
Blockieren oder alarmieren Sie bei DNS-Abfragen, die mit hochsicherer APT-Infrastruktur übereinstimmen.
SOC-Effizienz
Beschleunigt die Reaktionszeit, indem Ratespiel eliminiert und der Aufwand für das Schreiben von Abfragen reduziert wird.
