对组织而言会发生什么变化
通用过滤器会遗漏的本地化、多语言诈骗邮件能够被捕捉并解释清楚。
如何运作
对入站邮件中的身份冒充、社会工程、可疑链接与附件、二维码钓鱼与会话劫持进行分析，并结合邮件认证、信誉与沙盒信号。沙盒行为、导入项、字符串与反编译输出被归纳为候选指标与检测规则草案。
它监视什么
- 入站邮件，包括多语言与本地化诈骗模式
- 沙盒行为报告、导入项、字符串与反编译输出
- 已签名的离线威胁情报包，与内部事件进行关联
它究竟是如何运作的
讲的是机制，不是营销话术。如果下面的某一步经不起工程师的推敲，它就不该出现在这个页面上。
1
权威信号优先
SPF、DKIM 与 DMARC 结果、信誉数据，以及沙盒引爆输出。样本在沙盒中被引爆——绝不做抽象推理，也绝不在靠近模型运行环境的任何地方被执行。
2
语言与区域是一等要素，而非事后补充
使用马来语／印尼语、越南语、泰语以及语码混杂英语进行的本地化社会工程，由具备这些语言能力的模型评估。一个以英语训练的过滤器会把陌生文本当作普通商务往来，而这恰恰是区域性攻击者所利用的缺口。
3
二维码与图像中携带的链接会在评估前先被提取出来
当有效载荷不在文本中时，分析文本本身什么也发现不了。提取工作首先在沙盒中完成。
4
会话连续性会与真实历史记录进行核对
一条声称延续某段对话的消息，会与该说法成立所必须存在的邮件历史进行比对。劫持与伪造会话的企图无法通过这项检查。
5
威胁情报以已签名的离线知识包形式到达
指标与您自己的事件存储进行关联，并携带出处与到期时间。厂商情报、内部观测与模型推断绝不会被合并成一个单一的置信度数字。
6
检测内容先起草、再审阅、后部署
候选指标与猎杀规则被生成出来供人审批，不会有任何内容自动进入您的检测技术栈。
操作路径
从信号到可审计证据
01监测输入
- 入站邮件，包括多语言与本地化诈骗模式
- 沙盒行为报告、导入项、字符串与反编译输出
- 已签名的离线威胁情报包，与内部事件进行关联
02确定性工作流
- 1 权威信号优先 SPF、DKIM 与 DMARC 结果、信誉数据，以及沙盒引爆输出。样本在沙盒中被引爆——绝不做抽象推理，也绝不在靠近模型运行环境的任何地方被执行。
- 2 语言与区域是一等要素，而非事后补充 使用马来语／印尼语、越南语、泰语以及语码混杂英语进行的本地化社会工程，由具备这些语言能力的模型评估。一个以英语训练的过滤器会把陌生文本当作普通商务往来，而这恰恰是区域性攻击者所利用的缺口。
- 3 二维码与图像中携带的链接会在评估前先被提取出来 当有效载荷不在文本中时，分析文本本身什么也发现不了。提取工作首先在沙盒中完成。
- 4 会话连续性会与真实历史记录进行核对 一条声称延续某段对话的消息，会与该说法成立所必须存在的邮件历史进行比对。劫持与伪造会话的企图无法通过这项检查。
- 5 威胁情报以已签名的离线知识包形式到达 指标与您自己的事件存储进行关联，并携带出处与到期时间。厂商情报、内部观测与模型推断绝不会被合并成一个单一的置信度数字。
- 6 检测内容先起草、再审阅、后部署 候选指标与猎杀规则被生成出来供人审批，不会有任何内容自动进入您的检测技术栈。
03证据输出
- 附带邮件认证、信誉与沙盒信号的分析记录
- 带有出处与到期时间的候选指标
- 附带审核人员处置结果的检测与猎杀内容草案
一个案例
那封被英语过滤器放行的印尼语发票邮件
认证通过，没有恶意链接，没有附件。每一项传统控制手段都判定它是干净的。
入站
一封印尼语消息，引用了一个真实存在、尚未结清的采购订单编号。
SPF 通过
而且是合法通过——发件人域名九天前刚注册，且配置正确。认证证明的是对某个域名的控制权，而不是诚信。
显示名称
与一位已知供应商联系人的显示名称完全一致，但底层地址并不一致。
会话声明
该消息声称是在延续一段对话，而这段对话在邮件历史中根本不存在。
内容
更改后的银行信息，以及一种带有该语言习惯的紧迫措辞——这类施压式表达在翻译后往往会失真，因此不会出现在以英语训练的过滤器的训练数据中。
裁决
身份冒充被标记，并引用了全部五项支撑信号，出处在认证结果、信誉、邮件历史与模型推断之间被清楚区分开。
人工步骤
财务团队使用自己记录中的号码致电该供应商核实——而不是邮件里留的号码。
最终结果如何
这笔付款没有被支付出去。每一项传统控制手段都给出了“干净”的判定，而且它们各自的判定本身都没有出错：这次攻击是通过语言和会话上下文实施的,而不是通过链接或文件。
决策是如何做出的
权威阶梯。绿色代表权威环节——一条规则、一个扫描器、一个沙盒，或一个人。蓝色是模型发挥作用的地方。琥珀色是由人来做决定的地方。
02
受限上下文
沙盒输出与消息内容，按来源标注出处：厂商情报、内部观测，或模型推断。
03
模型贡献
区域与行业相关性判断、本地化社会工程识别、行为归纳、候选指标提取、检测与猎杀内容草案。
04
人工控制
检测内容在部署前经过审阅。指标携带出处与到期时间。
模型带来了什么
语言与区域方面的判断力——例如那种以英语训练的过滤器会当作普通商务邮件放行的印尼语发票诈骗，或泰语身份冒充。
它不能宣称什么
它无法独自断定某个样本是恶意的；这由沙盒和分析人员来判定。
它绝不会做什么
- 绝不在模型运行环境内执行样本。引爆分析在沙盒中进行。
- 绝不混淆厂商情报、内部观测与模型推断——出处会被追踪并展示。
- 绝不让一个指标在到期后悄悄继续生效。
- 绝不在未经审阅的情况下部署检测内容。
它留下什么证据
- 附带邮件认证、信誉与沙盒信号的分析记录
- 带有出处与到期时间的候选指标
- 附带审核人员处置结果的检测与猎杀内容草案
查看它的实际运作
尚未构建
一份规格说明，而非一次模拟演示
我们不会向您展示一个并不存在的东西的脚本化演示。我们发布的是工作流规格说明，其标准与已交付的工作完全一致：行为主体、触发条件、正常路径、异常情形、终态，以及它必须留下的审计证据。等它被构建出来后，这部分内容就会变成一次真实的演示。
状态与晋级所需条件
路线图探索阶段。晋级需要一个具名的邮件平台与沙盒，以及按语言划分的检测质量度量。
涉及的角色
安全运营中心分析师安全工程师／威胁猎人