Como Funciona
Este recurso do Uncoder AI demonstra sua capacidade de analisar e validar consultas UDM do Chronicle envolvendo múltiplas condições baseadas em domínio. Neste exemplo, o Uncoder AI processa uma consulta de caça a ameaças associada à Sandworm (UAC-0133) atividade, que visa um conjunto de .sh and .so domínios.
A plataforma identifica automaticamente que a lógica de detecção usa uma comparação a nível de campo on target.hostname, um campo padrão no esquema do Google SecOps (Chronicle). A consulta utiliza operadores OR repetidos para verificar correspondências em uma lista de hostnames suspeitos — como opf.sh, zjk.sh, e env.so.
No painel à direita, o Uncoder AI realiza uma validação gerada por IA, desmembrando a estrutura para:
-
Lógica da consulta (encadeamento de OR)
-
Formatação de campo/valor
-
Alinhamento de esquema
-
Impacto de desempenho
Confirma que a sintaxe é válida enquanto recomenda melhorias, como o uso de um IN operador para melhor desempenho.
Por Que É Inovador
A validação tradicional de consultas do Chronicle requer revisão manual da sintaxe, lógica e precisão do esquema — uma tarefa demorada e sujeita a erros. O Uncoder AI substitui isso por validação e otimização em tempo real, impulsionadas por IA, orientado por processamento de linguagem natural (NLP) e análise lógica.
Contribuições chave da IA incluem:
-
Reconhecimento automático de esquema of
target.hostname
-
Sugestões cientes de desempenho baseadas na complexidade da consulta
-
Identificação de entradas anômalas, como
“3}.sh”, que podem indicar valores IOC mal formatados ou defeituosos
-
Geração automática de sintaxe aprimorada, recomendando um IN bloco condensado e legível para substituir dúzias de ORs repetitivos
Isso reduz o esforço de escrita e depuração de consultas para engenheiros de detecção enquanto mantém total compatibilidade com a estrutura de consulta UDM do Google’s Chronicle.
Valor Operacional
Para equipes de segurança trabalhando em ambientes Google SecOps, este recurso permite:
Engenharia de Detecção Mais Rápida
Analistas de segurança podem converter listas de domínios em consultas validadas do Chronicle instantaneamente, pulando a formatação manual.
Confiança Maior na Qualidade das Consultas
A lógica de validação embutida assegura que todos os campos usados sejam compatíveis com o esquema, e formatações suspeitas (por exemplo, domínios mal formados) são sinalizadas para revisão.
Prontidão de Desempenho Melhorada
Recomendações para usar IN operadores em vez de longas cadeias de OR reduzem o tempo de execução da consulta e facilitam a manutenção das detecções em escala.
