无需登录
直接点开控制台看看

疑似勒索软件执行 · CASE-2611-0412

1. 证据 邮件附件 invoice_1103.docm 被打开后，生成 PowerShell 子进程（T1566.001、T1059.001）
2. 证据 执行了 vssadmin.exe delete shadows /all /quiet（T1490）
3. 证据 6 秒内 412 个文件的扩展名被修改
4. 依据 三个行为在同一台主机上 7 分钟内接连发生，顺序与勒索软件的执行阶段一致
5. 研判 疑似勒索软件执行 · 置信度 0.94
6. 建议 对主机做网络隔离（需负责人审批）· 排查收到同一附件的另外 4 个邮箱

记录：输入哈希 9f3a…c21e · 模型 v3.2 · 策略 P-07 · 如何阅读研判记录

内部聊天机器人试图向外发送 · CASE-2611-0381

1. 证据 上传的文档里藏有指令（“忽略之前的指令……”）
2. 证据 聊天机器人调用客户查询工具的次数是平时的 12 倍
3. 证据 试图通过 mail.send 工具向外部地址发信（已被策略拦截）
4. 依据 工具调用顺序与文档中的指令吻合，属于间接提示词注入模式（OWASP LLM01）
5. 研判 提示词注入导致的工具滥用 · 置信度 0.88
6. 建议 结束会话 · 封禁该文档来源 · 收回聊天机器人的外发权限

凌晨时段大量下载 · CASE-2611-0377

1. 证据 02:14 接入 VPN，不在平时的登录时段（9 点至 19 点）内
2. 证据 40 分钟内从设计文档库下载 1,820 个文件（平时日均 30 个）
3. 证据 该账号在待离职名单上（HR 系统对接）
4. 依据 明显偏离该账号的行为基线。不过也可能处于工作交接期，需要人工确认
5. 研判 可能存在内部信息外泄 · 置信度 0.71
6. 建议 限制该账号下载 · 请所属部门负责人确认