작동 방식
복잡한 위협 탐지 쿼리는 중첩된 로직, 조건문, 여러 필터가 겹치면서 해석 및 유지보수가 어려워질 수 있습니다. Uncoder AI는 자동화된 의사 결정 나무 요약을 도입하여 이를 해결합니다.
Elastic Stack Query (EQL)를 예로 들어, Uncoder AI는 규칙을 인식하고 이를 구조화된 영어로 설명합니다. 요약은 다음을 보여줍니다:
-
초기 필터링:
시간 창, 운영 체제, 이벤트 유형 및 동작—예: 필터링 event.action == “exec” Linux 호스트에서.
-
특정 프로세스 탐지:
Python, Perl, Ruby 및 OpenSSL과 같은 언어에서 base64 디코딩과 관련된 프로세스 이름과 인수를 일치시킵니다.
AI 출력은 로직 가지를 강조하고 디코딩 플래그( -d , -base64 ) 및 명령줄 패턴을 포함한 내장 조건을 설명합니다.
왜 혁신적인가
전통적인 규칙 검증기와 달리, 이 기능은 문법만 확인하는 것이 아니라 논리를 해석합니다. 탐지 엔지니어링 데이터로 훈련된 맞춤형 Llama 3.3 모델을 통해 Uncoder AI는 사람이 읽을 수 있는 컨텍스트를 제공합니다.
-
필터링 단계 및 내장 로직 식별
-
복잡한 연산자 사용 설명: eval, 정규 표현식 및 논리적 분기
-
검토를 용이하게 하기 위해 구조화된 문단으로 의사 결정 논리를 요약합니다.
이는 복잡한 쿼리 구조를 수동으로 분석할 필요 없이 명확성을 필요로 하는 SOC 팀에게 특히 유용합니다.
운영 가치
-
규칙 검증 가속화:
규칙을 이해하고 디버깅하는 시간을 단축—특히 다른 사람이 작성한 규칙의 경우.
-
탐지 정확도 향상:
정밀도에 영향을 줄 수 있는 불필요한 절이나 지나치게 광범위한 필터를 강조합니다.
-
애널리스트를 더 빨리 온보딩:
숙련되지 않은 엔지니어도 탐지 로직을 빠르게 이해하고 자신 있게 개선할 수 있습니다.
-
기능 간 협업 개선:
요약된 논리는 위협 사냥꾼, 엔지니어 및 관리자들이 원시 문법을 해독하지 않고도 협력할 수 있게 합니다.
-
다중 SIEM 환경 지원:
48개 언어를 지원하므로 팀이 다양한 쿼리 형식에 이 기능을 적용할 수 있습니다.
복잡한 코드에서 명확한 의도로
Uncoder AI는 밀집된 탐지 쿼리를 이해할 수 있는 요약으로 변환합니다. 이는 규칙 논리와 애널리스트의 이해 사이의 격차를 줄여 더 빠른 검증, 일관된 조정 및 SOC 전반에 걸친 협업을 개선합니다.
