Come Funziona
1. Estrazione dell’IOC dal Rapporto di Minaccia
Uncoder AI analizza automaticamente e categorizza gli indicatori dal rapporto dell’incidente (a sinistra), includendo:
-
Domini malevoli, come:
-
mail.zhblz.com
-
docs.google.com.spreadsheets.d.l1p6eeakedbmwteh36vana6hu-glaekssht-boujdk.zhblz.com
-
doc.gmail.com.gyehdhhrggdi1323sdnhnsiwvh2uhdqjwdhhfjcjeuejcj.zhblz.com
-
Questi domini sono collegati a documenti di phishing, portali di accesso imitati, e punti di esfiltrazione dati.
2. Generazione Query Compatibile con SentinelOne
A destra, Uncoder AI produce una query Evento SentinelOne usando la sintassi DNS in contains anycase :
DNS in contains anycase (
"docs.google.com.spreadsheets.d.l1p6eeakedbmwteh36vana6hu-glaekssht-boujdk.zhblz.com",
"mail.zhblz.com",
"doc.gmail.com.gyehdhhrggdi1323sdnhnsiwvh2uhdqjwdhhfjcjeuejcj.zhblz.com"
)
-
Operatore: contains anycase assicura che il rilevamento sia case-insensitive, gestendo le variazioni dei log DNS.
-
Campo: DNS mira agli eventi di risoluzione, ideale per svelare ricerche di dominio legate a malware o link di phishing.
Caso d’uso: Indagare sulle query DNS avviate da powershell.exe , browser.ps1 , o zapit.exe .
Perché è Utile
-
Nessuno sforzo di formattazione: Catene di sottodomini lunghe sono auto-formattate per la corretta corrispondenza.
-
Distribuzione IOC istantanea: Gli analisti possono eseguire la query direttamente in SentinelOne per identificare gli host infetti o il comportamento di beaconing.
Alto rapporto segnale-rumore: Si concentra solo su infrastrutture di proprietà degli attaccanti, minimizzando i falsi positivi.
Benefici Operativi
Per gli utenti di SentinelOne, questa caratteristica permette:
-
Caccia alle Minacce più Veloce
Non c’è bisogno di costruire manualmente query di dominio — Uncoder AI lo fa da qualsiasi rapporto di minaccia.
-
Immediata Applicazione dell’IOC
Bloccare o avvisare sulle query DNS che corrispondono a infrastrutture APT ad alta fiducia.
Efficienza SOC
Accelera i tempi di risposta eliminando le ipotesi e riducendo il carico di lavoro per la scrittura di query.
