Wie es funktioniert
1. IOC-Extraktion aus Bedrohungsberichten
Uncoder AI analysiert automatisch strukturierte Bedrohungsberichte, um Folgendes zu extrahieren:
- Domains und Subdomains (z. B., mail.zhblz.com, doc.gmail.com.gyehdhhrggdi…)
- URLs und Pfade von Phishing- und Schadsoftware-Übertragungsservern
- Zugehörige IPs, Hashes und Dateinamen (links zu sehen)
Dadurch wird erheblicher manueller Aufwand im Vergleich zur Kopie und Normalisierung von IOCs aus mehreren Quellen eingespart.
2. Automatische Formatierung von UDM-Abfragen
Im rechten Bereich gibt Uncoder AI eine Google SecOps-fähige Abfrage unter Verwendung des UDM-Felds target.hostname, aus, die den extrahierten Domains entspricht:
target.hostname = "docs.google.com.spreadsheets.d.l1p6eeakedbmwteh36vana6hu-glaekssht-boujdk.zhblz.com"
or target.hostname = "mail.zhblz.com"
or target.hostname = "doc.gmail.com.gyehdhhrggdi1323sdnhnsiwvh2uhdqjwdhhfjcjeuejcj.zhblz.com"
Diese Domains sind mit der Infrastruktur der Angreifer, Phishing-Seiten oder C2-Kommunikationsendpunkten verbunden.
Dieses Format kann sofort in Google SecOps Search to:
- genutzt werden, um vorherige DNS-Auflösungen oder Netzwerkverbindungen zu suchen
- Erstellung von Erkennungsregeln oder benutzerdefinierten Dashboards
- Untersuchung verdächtiger Aktivitäten basierend auf Domain-Beobachtungen
Warum es wertvoll ist
- Spart Zeit: Keine Notwendigkeit, IOCs-Listen manuell zu formatieren – Domain-Werte werden automatisch in gültige Abfragesyntax eingefügt
- Reduziert Fehler: Die korrekte Verwendung von UDM-Feldnamen sorgt für Kompatibilität mit der Erkennungs-Engine von Chronicle
- Sofort umsetzbar: Sicherheitsteams können in Sekundenschnelle von einem Bedrohungsbericht zu einer tatsächlichen Telemetriesuche wechseln
Betriebliche Anwendungsfälle
Sicherheitsanalysten und Threat Hunter können diese Funktion nutzen, um:
- Erkennung von Phishing-Kampagnen-Antworten die mit gefälschten Google Docs oder OWA-Seiten verbunden sind
- Überwachung des Datenverkehrs zu von Angreifern kontrollierter Infrastruktur die mit Identitätsdiebstahl verbunden ist
- Reagieren auf Vorfälle mit vorab geprüften Domain-Übereinstimmungen über Endpoint- und Netzwerkprotokolle
Von zwischenablagebasierten Nutzlasten bis hin zu gefälschten Anmeldeportalen befähigt Uncoder AI Google SecOps-Teams, Bedrohungsinformationen sofort in strukturierte, hochpräzise Erkennungen zu verwandeln.
