Cómo Funciona
1. Extracción de IOC del Informe de Amenazas
Uncoder AI analiza y categoriza automáticamente los indicadores del informe de incidentes (a la izquierda), incluyendo:
-
Dominios maliciosos, tales como:
-
mail.zhblz.com
-
docs.google.com.spreadsheets.d.l1p6eeakedbmwteh36vana6hu-glaekssht-boujdk.zhblz.com
-
doc.gmail.com.gyehdhhrggdi1323sdnhnsiwvh2uhdqjwdhhfjcjeuejcj.zhblz.com
-
Estos dominios están vinculados a documentos de phishing, portales de inicio de sesión falsificados y puntos de exfiltración de datos.
2. Generación de Consultas Compatibles con SentinelOne
A la derecha, Uncoder AI ofrece una consulta de eventos de SentinelOne utilizando la sintaxis DNS in contains anycase syntax:
DNS in contains anycase (
"docs.google.com.spreadsheets.d.l1p6eeakedbmwteh36vana6hu-glaekssht-boujdk.zhblz.com",
"mail.zhblz.com",
"doc.gmail.com.gyehdhhrggdi1323sdnhnsiwvh2uhdqjwdhhfjcjeuejcj.zhblz.com"
)
-
Operador: contains anycase asegura que la detección no sea sensible a mayúsculas, manejando variaciones en los registros DNS.
-
Campo: DNS apunta a eventos de resolución, ideal para descubrir búsquedas de dominios ligadas a malware o enlaces de phishing.
Caso de uso: Investigar consultas DNS iniciadas por powershell.exe , browser.ps1 , o zapit.exe .
Por Qué es Útil
-
Esfuerzo cero de formato: Las cadenas de subdominios largas se formatean automáticamente para una coincidencia adecuada.
-
Implementación instantánea de IOC: Los analistas pueden ejecutar la consulta directamente en SentinelOne para identificar hosts infectados o comportamientos de beaconing.
Alta relación señal-ruido: Se enfoca solo en la infraestructura controlada por el atacante, minimizando falsos positivos.
Beneficios Operacionales
Para los usuarios de SentinelOne, esta función permite:
-
Caza de Amenazas Más Rápida
No es necesario construir consultas de dominio manualmente — Uncoder AI lo hace desde cualquier informe de amenazas.
-
Aplicación Inmediata de IOC
Bloquear o alertar sobre consultas DNS que coincidan con infraestructuras APT de alta confianza.
Eficiencia del SOC
Acelera el tiempo de respuesta al eliminar las conjeturas y reducir el esfuerzo de escritura de consultas.
