Comment le résumé complet dans Uncoder AI booste l’analyse des requêtes Kusto pour les chasseurs de menaces

[post-views]
avril 23, 2025 · 5 min de lecture
Comment le résumé complet dans Uncoder AI booste l’analyse des requêtes Kusto pour les chasseurs de menaces

Travailler avec Microsoft Sentinel signifie souvent disséquer des requêtes Kusto complexes, surtout lorsque l’on suit le comportement subtil des attaquants. Ces requêtes peuvent inclure une logique imbriquée, des vérifications de chemins de fichiers obscurs et des événements système rares nécessitant une compréhension profonde. C’est exactement là que la fonction Résumé complet d’Uncoder AI brille.

Cette amélioration alimentée par l’IA traduit automatiquement la logique de détection complexe de Microsoft Sentinel (Kusto) en une explication structurée et en langage clair, transformant des règles complexes en intelligence exploitable en quelques secondes.

Explorez Uncoder AI

Cas réel : Clfs.sys Chargé depuis des chemins d’utilisateur suspects

Prenons l’exemple de la capture d’écran : une règle de détection qui surveille les cas où clfs.sys, un pilote système légitime, est chargé depuis des répertoires non standards ou suspects tels que \Users\Public, \Temp, \Pictures, \Contacts, etc.

Ce comportement pourrait indiquer qu’un attaquant a déplacé ou chargée de manière latérale le clfs.sys module depuis des chemins d’espace utilisateur pour échapper à la détection ou persister discrètement.

Mais la requête originale ? Pleine de conditions imbriquées, Image contains et de logique de répertoire qui demandent du temps à interpréter.

Entrée que nous avons utilisée (cliquez pour afficher le texte)
SysmonEvent | where EventID == 7 | where (ImageLoaded endswith @’\clfs.sys’ and ((Image contains @’:\Perflogs\’ or Image contains @’:\Users\Public\’ or Image contains @’\Temporary Internet’ or Image contains @’\Windows\Temp\’) or (Image contains @’:\Users\’ and Image contains @’\Favorites\’) or (Image contains @’:\Users\’ and Image contains @’\Favourites\’) or (Image contains @’:\Users\’ and Image contains @’\Contacts\’) or (Image contains @’:\Users\’ and Image contains @’\Pictures\’)))
Résultat de l’IA (cliquez pour afficher le texte)

La requête Microsoft Sentinel proposée est conçue pour détecter des activités système spécifiques capturées par les journaux d’événements de System Monitor (Sysmon). Voici une répartition de ce que cette requête vise à accomplir :

  1. Filtrage pour Event ID 7: La requête commence par filtrer les événements Sysmon où EventID == 7. Dans Sysmon, Event ID 7 correspond à un événement Image Loaded , ce qui signifie que le système a chargé un nouveau module (comme une DLL) en mémoire. C’est un événement courant mais qui peut être significatif pour identifier une activité malveillante si des modules inhabituels ou inattendus sont chargés.
  2. Filtrage pour clfs.sys : La requête restreint davantage ces Image Loaded événements en recherchant les cas où l’image chargée (ImageLoaded) se termine par \clfs.sys. Ce fichier, clfs.sys, est un pilote système Windows lié au Common Log File System (CLFS). Il est essentiel pour certaines opérations de journalisation et de base de données au sein de Windows. L’intérêt pour ce pilote spécifique pourrait provenir de son utilisation potentielle incorrecte par des logiciels malveillants ou d’autres processus non autorisés.
  3. Filtres de répertoire spécifiques : La requête applique ensuite plusieurs filtres basés sur le chemin de l’image chargée (Image). Ces filtres recherchent des images qui se trouvent dans, ou qui ont des chemins contenant, certains répertoires. Plus précisément, elle recherche :
  • Des chemins qui incluent \Perflogs\, ce qui pourrait indiquer une activité liée à la journalisation des performances.
  • Des chemins qui incluent \Users\Public\, suggérant l’implication du répertoire utilisateur public.
  • Des chemins contenant \Temporary Internet, indiquant des fichiers internet temporaires.
  • Des chemins qui se terminent par \Windows\Temp\, pointant vers le dossier temporaire de Windows, un lieu commun pour les activités malveillantes ou non autorisées.
  • Des filtres plus spécifiques sont appliqués dans les répertoires utilisateur (:\Users\), se concentrant sur les sous-répertoires tels que :\Favourites\ (prenant en compte différentes orthographes régionales)\Contacts\
    \Pictures\

Ces filtres de répertoire spécifiques suggèrent que la requête cherche à identifier si clfs.sys ou des modules système similaires sont chargés depuis des emplacements inhabituels ou potentiellement compromis au sein de l’espace utilisateur, ce qui pourrait indiquer une activité malveillante. L’accent mis sur ces répertoires et sous-répertoires particuliers implique une préoccupation pour l’intégrité des données, la vie privée ou un potentiel mouvement latéral au sein d’un réseau.

En essence, cette requête Microsoft Sentinel est conçue pour découvrir le chargement suspect des pilotes système Windows depuis des chemins non standards, en particulier ceux associés aux données utilisateur, au stockage temporaire ou à d’autres zones qui ne sont généralement pas impliquées dans les opérations au niveau du système. Cela pourrait aider les équipes de sécurité à identifier et répondre aux menaces potentielles, telles que l’accès non autorisé à des données sensibles ou les logiciels malveillants tentant de se fondre dans les activités système légitimes.

Ce que le Résumé Complet a fourni

Au lieu de parcourir manuellement la logique, Uncoder AI a instantanément généré une explication claire et structurée :

  • Pourquoi Event ID 7 est important : il reflète le chargement d’un module (ImageLoaded), ce qui peut être bénin ou indiquer une activité malveillante.
  • Pourquoi Clfs.sys est ciblé : Bien que légitime, son utilisation abusive pourrait indiquer un mouvement latéral ou une élévation de privilèges.
  • Pourquoi les répertoires utilisateur sont suspects : Ces emplacements ne sont pas typiques pour les pilotes de niveau système et peuvent signaler un accès non autorisé ou des techniques de persistance.

Impact opérationnel : De l’examen à l’action

Cette fonctionnalité a réduit drastiquement le temps d’investigation de l’analyste—transformant un examen logique en plusieurs étapes en un résumé en un seul passage. Elle a permis une triage plus rapide, un meilleur contexte pour la validation des menaces, et une chasse rétroactive immédiate à travers les journaux stockés.

En bref, le Résumé Complet d’Uncoder AI a comblé le fossé entre la détection technique complexe et la réponse opérationnelle rapide.

Explorez Uncoder AI

Table des Matières

Cet article vous a-t-il été utile ?

Aimez-le et partagez-le avec vos collègues.
Rejoignez la plateforme Detection as Code de SOC Prime pour améliorer la visibilité des menaces les plus pertinentes pour votre entreprise. Pour vous aider à démarrer et générer une valeur immédiate, réservez dès maintenant une réunion avec les experts de SOC Prime.
Inscrivez-vous gratuitement Réserver une réunion

Articles connexes