De l’indicateur détecté à la requête de hunting.
Sans repartir de zéro.
SandGuard récupère les IOC et artefacts issus de l’analyse, vous laisse choisir ce qui est pertinent, puis génère à la volée des requêtes adaptées à votre SIEM ou XDR — ainsi que des règles Sigma ou YARA entièrement personnalisables.
cdn-update-check[.]com✓185.***.***.24✓7f2a...91bd+hxxps://.../loader✓dataset = xdr_data
| filter action_remote_ip = "185.***.***.24"
or dns_query_name = "cdn-update-check.com"
| fields _time, agent_hostname,
action_remote_ip, dns_query_name
| sort desc _timeLe vrai temps perdu commence après l’analyse.
Un analyste peut identifier rapidement une IP, un domaine ou une empreinte intéressante. Le travail répétitif arrive ensuite : choisir quoi rechercher, reformater les valeurs, adapter la syntaxe à son outil puis reconstruire une règle propre. SandGuard raccourcit cette étape.
Tout extraire automatiquement.
Ne rechercher que ce qui vous intéresse.
Les IOC et artefacts détectés pendant l’analyse sont regroupés par catégorie. Vous choisissez ensuite ceux qui doivent réellement être intégrés à votre recherche, au lieu de partir d’un bloc de données brut.
La même investigation, adaptée à votre SIEM ou XDR.
Le moteur ne se contente pas de coller des IOC dans une chaîne. Vous choisissez la cible et SandGuard construit une base de requête adaptée au langage attendu, prête à être relue et modifiée.
dataset = xdr_data
| filter action_remote_ip in ("185.***.***.24", "91.***.***.18")
or dns_query_name in ("cdn-update-check.com", "login-secure.example")
| fields _time, agent_hostname, causality_actor_process_image_name,
action_remote_ip, dns_query_name
| sort desc _timeCréer une règle de détection sans repartir d’un fichier vide.
À partir des éléments déjà observés, SandGuard peut préparer une règle Sigma ou YARA. Vous pouvez choisir les indicateurs à inclure, ajuster les conditions, modifier le nom, la logique et le niveau de sévérité avant de l’exporter.
La génération automatise le travail répétitif, pas votre jugement.
SandGuard prépare la requête ou la règle. L’analyste reste libre d’ajouter, retirer ou modifier chaque élément avant utilisation. Le but est de gagner du temps sans transformer une génération automatique en décision automatique.
Copier, exporter, adapter — puis lancer la recherche.
Une fois la requête ou la règle prête, elle peut être récupérée directement pour poursuivre l’investigation dans votre environnement. Plus besoin de reconstruire manuellement les mêmes critères entre chaque outil.
Un IOC détecté ne devrait pas finir dans un bloc-notes.
SandGuard transforme les éléments issus de l’analyse en base de recherche exploitable, tout en laissant l’analyste décider quoi chercher et comment.
Un fichier intéressant vient d’être analysé ?
Utilisez ses IOC et artefacts pour préparer votre prochaine recherche sans repartir de zéro.