Mars Security, een platform voor autonome threat hunting en detectie-engineering, heeft een nieuwe functionaliteit aangekondigd die realtime dreigingsinformatie direct omzet in gevalideerde detectieregels. Hiermee kunnen security operations centers (SOC's) binnen enkele minuten na publicatie van een threat advisory nieuwe detectieregels implementeren.

De technologie is ontwikkeld door voormalige militaire red team operators en verwerkt automatisch dreigingsrapporten van organisaties als CISA, Mandiant, Unit 42 en Microsoft Threat Intelligence. Het platform vertaalt ruwe indicatoren en tactieken van aanvallers naar native detectielogica die gekoppeld is aan het MITRE ATT&CK-framework. Deze regels worden toegepast op diverse beveiligingsinfrastructuren, waaronder CrowdStrike Falcon, Wiz, Splunk, firewall-logs, Linux Sysmon, identity providers en data lakes zoals Snowflake en Databricks.

Elke gegenereerde regel wordt vooraf automatisch getest tegen 30 dagen historische telemetry van de organisatie, waardoor handmatige data-inname of aanpassingen in de infrastructuur overbodig zijn. Dit versnelt het proces van threat advisory naar actieve verdediging aanzienlijk, aangezien traditionele workflows vaak dagen tot weken in beslag nemen terwijl dreigingsactoren hun infrastructuur binnen uren aanpassen.

De automatisering omvat het extraheren van relevante indicatoren en tactieken, het mappen naar MITRE ATT&CK, het schrijven van native query's voor de juiste logbronnen, en het uitvoeren van heuristische analyses om ruis te verminderen. Verouderde of te brede indicatoren worden automatisch verwijderd voordat ze in een regel terechtkomen. Beveiligingsteams kunnen de gevalideerde regels eenvoudig beoordelen, backtesten uitvoeren en met één klik in productie nemen.

Naast het verwerken van externe dreigingsinformatie voert Mars Security ook continu een analyse uit van bestaande defensieve dekking om kritieke blinde vlekken te identificeren. Recente aanbevelingen betreffen onder meer detectie van manipulatie van AWS CloudTrail-logs, misbruik van Route 53 domeinoverdracht, pass-the-hash bewegingen en afwijkende Microsoft Graph API-activiteiten.