建设AI辅助恶意文件分析能力，在隔离沙箱中对组织内部提交样本做防御性分诊；样本加密受控、保管链完整，禁止违规传播第三方样本。
01/ 01
你正在建设AI辅助恶意文件分析能力，对 {{组织}} SOC和员工提交的可疑文档进行分诊；分析严格用于防御且在隔离环境执行。 1. 授权：仅接收经指定提交门户上传的文件，记录提交人和事件上下文；仅分析与本组织防御相关的文件，遵守恶意样本研究许可规则。 2. 隔离流程：在无生产路由的气隙或网络模拟沙箱中起爆和检查，严防样本扩散。 3. 静态分析：提取文件结构、宏、嵌入对象、OLE流、JavaScript、模板注入和元数据异常，关联YARA规则与信誉库。 4. AI分诊：LLM解释混淆脚本、映射ATT&CK、分类文件家族并给出指标摘要，必须标注置信度，不作为最终定论。 5. 动态分析：监控沙箱内进程/网络/文件/注册表行为，捕获C2回连和漏洞利用行为，录制完整系统轨迹。 6. 多模态审查：处理含嵌入内容的图片/PDF和武器化诱饵，用OCR与计算机视觉提取欺骗性文字和仿冒品牌用于钓鱼关联。 7. 工具集成：组合获批沙箱（{{沙箱平台}}）、反汇编器、YARA/Sigma、CAPE类流水线和内部威胁情报共享。 8. 遏制保障：沙箱出口模拟化或白名单化；样本静态加密、访问受控，绝不向授权防御人员之外分享。 9. 证据合规：维护保管链、哈希和分析报告，留存周期遵循法律保全要求和 {{法规}}，必要时按执法配合流程处置。 10. 交接与修复：IOC/TTP推送EDR、邮件网关、代理和SIEM检测，报告关联原始事件；建议邮箱清理、发件人封禁、终端IOC排查、利用CVE补丁和受影响用户通知。