Como Funciona
Este recurso do Uncoder AI permite a criação instantânea de consultas de detecção para VMware Carbon Black Cloud usando inteligência de ameaça estruturada, como a do CERT-UA#12463. Nesse caso, o Uncoder AI processa indicadores associados à atividade UAC-0099 e os formata em uma consulta de domínio sintaticamente correta.
Dados de Ameaça Analisados
O relatório de ameaça fonte inclui nomes de domínio usados em conexões de rede maliciosas:
update.win.app.comcaptcha-challenge.comwebappapiservice.lifenewyorkttimes.life
O Uncoder AI estrutura esses indicadores em uma consulta válida do Carbon Black:
(netconn_domain:update.win.app.com OR netconn_domain:ukr.net OR netconn_domain:captcha-challenge.com OR netconn_domain:newyorkttimes.life OR netconn_domain:webappapiservice.life)
Essa sintaxe é projetada para uso imediato na plataforma Carbon Black Cloud para detectar conexões DNS ou HTTP/S maliciosas originadas de endpoints.
Por que é Inovador
Estruturação de Consultas Baseada em IA
O Uncoder AI automatiza tanto a extração de IOC quanto a geração de regras de detecção. A IA entende o esquema necessário para o Carbon Black (por exemplo, usando o campo netconn_domain ), eliminando a necessidade de analistas mapearem manualmente a inteligência de ameaça para a sintaxe específica da plataforma.
Validação de Sintaxe Incorporada
Uma inovação única deste recurso é a validação ao vivo impulsionada por IA da consulta gerada:
- Garante que os pares de campo-valor estejam estruturados usando o delimitador correto (:)
- Verifica o uso de operadores lógicos (
OR) - Alinha-se ao esquema do Carbon Black Cloud, confirmando que
netconn_domainé um campo válido e indexado - Destaca possíveis considerações de desempenho se cadeias de OR forem longas ou se conjuntos de dados forem grandes
O processo de validação imita como o Carbon Black Cloud analisa consultas — reduzindo as chances de configuração incorreta e aumentando a confiança na implantação.
Valor Operacional
Este recurso beneficia equipes SOC e engenheiros de detecção, ao:
- Acelerar a criação de consultas para infraestrutura de adversários conhecida
- Reduzir erros por meio da validação de sintaxe, lógica e alinhamento de esquema por IA
- Permitir caça a ameaças proativa, especialmente para domínios de phishing e entrega de malware
- Melhorar a consistência da formatação de consultas entre analistas e equipes
A consulta gerada neste caso permite que usuários do Carbon Black detectem conexões para domínios de atacantes conhecidos vinculados ao UAC-0099 e apliquem medidas ou investigação adicional.
