Mga nadagdag:
- Kakayahang magsuri ng kahina-hinalang email sa tatlong layer (content/social engineering, URL/attachment structure, header at SPF/DKIM/DMARC) na may suporta sa artificial intelligence
- Kakayahang ilapat ang disiplina sa pagsusuri ng mga kahina-hinalang link sa live na system nang hindi nagki-click sa mga ito at pinapatunayan ang 'phishing/safe' na desisyon ng AI na may pamagat, reputasyon ng domain at konteksto
- Kakayahang kilalanin na hindi alam ng artificial intelligence ang konteksto ng institusyonal at maaaring magkamali ang lehitimong e-mail bilang phishing (false positive) at magpasya na harangan ito bilang isang analyst
Karamihan sa mga pag-atake ay nagsisimula sa panlilinlang sa isang tao, hindi sa teknikal na kahinaan. Ang phishing ay isang social engineering attack na nagtatangkang linlangin ang biktima sa pagkuha ng mga password, impormasyon ng card, o mga pag-click sa pamamagitan ng panlilinlang sa biktima gamit ang isang pekeng email, mensahe, o website. Ang isang empleyadong nahuhulog para sa isang "iyong kargamento ay hindi maihatid, mag-click dito" na mensahe o "ang general manager ay humiling ng isang agarang paglipat" ay mag-bypass kahit na ang pinaka-advanced na firewall. Kaya naman ang mabilis at tumpak na pagsusuri sa mga kahina-hinalang email ay pang-araw-araw na pagkain ng security team.
Napakalakas ng artificial intelligence sa pagsusuri sa phishing dahil ang phishing ay, sa kaibuturan nito, isang problema sa wika at pattern. Maaaring i-parse ng AI ang tono ng email, pressure of urgency, grammatical quirks, pekeng brand impersonation, at kahina-hinalang istruktura ng link sa ilang segundo; maaaring ipaliwanag kung bakit mapanlinlang ang isang URL; Maaari itong mag-flag ng mga hindi pagkakapare-pareho sa mga header ng email. Ngunit hindi maaaring (at hindi dapat) i-verify ng AI sa pamamagitan ng pag-click na ang isang link ay talagang nakakahamak, at hindi ito makakagawa ng panghuling pagpapasiya na ang isang email ay talagang peke sa konteksto ng kumpanya. Sinusuri ng AI ang phishing at binibigyang-katwiran ang hinala; Ang analyst ang magpapasya na "this is phishing, block/delete" at ang notification sa user.
Ano ang hahanapin sa isang phishing na email
Kapag sinusuri ang isang kahina-hinalang email, tatlong layer ang tinitingnan, at tumutulong ang AI sa bawat layer:
- Nilalaman at social engineering. Pressure of urgency (“kaagad”, “isasara ang iyong account”), dissimulation of authority (“general manager”, “IT department”), takot/gantimpala, mga grammatical error, kawalan ng personalization. Ang AI ay mahusay na nagde-decipher ng mga diskarte sa tono at panghihikayat.
- Mga teknikal na tagapagpahiwatig — link at attachment. Pagkakaiba sa pagitan ng ipinapakitang text at ng totoong URL, pekeng domain name na may katulad na mga titik (typosquatting; hal. paypa1.com), URL shortening, kahina-hinalang mga attachment ng file (.html, .iso, Office file na naglalaman ng mga macro). Sinusuri ng AI ang istraktura ng URL.
- Mga header ng email. Ang tunay na domain name ng nagpadala, ang mga resulta ng pag-verify ng SPF/DKIM/DMARC (tatlong mekanismo ng pagpapatunay na nagpapatunay na ang email ay talagang nagmula sa domain na sinasabing ito), mga hindi pagkakapare-pareho ng landas ng server. Binubuod ng AI ang mga pamagat at nagba-flag ng mga hindi pagkakapare-pareho.
Isang mahalagang panuntunan sa seguridad: Huwag kailanman i-click ang mga kahina-hinalang link sa isang live na system. Ginagawa ang pagsusuri ng URL sa pamamagitan ng text, sa isang nakahiwalay (sandbox) na kapaligiran kung kinakailangan. Ang pagkakaroon ng AI na pag-aralan ang isang URL ay hindi "pagbisita" dito; ngunit huwag ipagpalagay na maa-access din ng AI ang site na iyon — ang pagsusuri ay batay sa istruktura at kilalang threat intelligence.
Dashboard ng phishing
layer
tanda ng pagdududa
Kontribusyon ng AI
hangganan
Nilalaman
Pagkamadalian, awtoridad, panggigipit ng takot
Pagsusuri ng pamamaraan ng tono at panghihikayat
Hindi alam ang konteksto
Nai-post ni
Domain impersonation, hindi pare-parehong pangalan
Pagkakatulad/typosquat detection
Hindi kinikilala ang institusyon
URL
Tila ≠ tunay, kunwa na lugar
Pagsusuri ng istraktura, paliwanag
Hindi ma-click at makumpirma
Annex
Mapanganib na extension, macro
Pagtatasa ng panganib sa extension/uri
Hindi mapatakbo ang file
Pamagat
Nabigo ang SPF/DKIM/DMARC
Buod ng pamagat, hindi pagkakapare-pareho
I-verify ang resulta
Konteksto
hindi inaasahang kahilingan
bumubuo ng mga tanong
Ang desisyon ay nasa kamay ng analyst
tatlong mini case
Kaso 1 — Diagnosis sa loob ng 30 segundo. Nakita ng isang user na kahina-hinala ang email na "mula sa iyong bangko: na-freeze ang iyong account, i-verify" at ipinapasa ito sa security team. Ang analyst ay nagbibigay ng email (masking ang personal na data) sa AI. Ang AI ay nagbubuod sa loob ng 30 segundo: ang pangalan ng domain ng nagpadala ay guvenli-banka-tr.info (hindi ang tunay na domain ng bangko), ang URL ay kunwari ang bangko ngunit ang tunay na target ay ibang domain, nabigo ang pag-verify ng DKIM, ang wika ay naglalagay ng presyon sa pagkaapurahan. Kinukumpirma mismo ng analyst ang mga indicator na ito sa header at URL, idineklara ang email phishing, at hinaharangan ang buong organisasyon. Pinabilis ng AI ang pagsusuri; Ang analyst ang gumawa ng desisyon.
Kaso 2 — Napagkamalan ang isang lehitimong email para sa phishing (false positive). Bina-flag ng AI ang isang email bilang "kahina-hinala, posibleng phishing: nagmula sa isang panlabas na domain at naglalaman ng isang link." Sinusuri ng analyst ang konteksto: ang email ay nagmumula sa aktwal na HR software provider ng organisasyon, ang SPF/DKIM/DMARC ay valid lahat, at ang provider na iyon ay nasa loob ng maraming taon. Nag-flag ang AI ng isang lehitimong email dahil hindi nito alam ang konteksto. Itinatama ng analyst ang false positive. Aralin: Ang "phishing" sign ng AI ay isang hypothesis; Kung walang pagpapatunay ng pamagat at konteksto ng institusyon, hindi ito nagiging desisyon.
Kaso 3 — Nilikhang "ligtas" na desisyon. Ang isang analyst ay nagbibigay sa AI ng isang URL at nagtatanong ng "ligtas ba ito?" tanong niya. Sinasabi ng AI na "oo, ito ay isang kilala at secure na domain." Ngunit ang AI ay hindi aktwal na tumingin sa site na iyon; Ang pangalan ng domain ay isang bagong rehistradong typosquat na walang reputasyon, at ang modelo ay gumawa ng isang positibong tugon dahil naisip nitong "kapaki-pakinabang" ang magbigay ng tiwala. Ang analyst mismo ang sumusuri sa petsa ng pagpaparehistro at mga serbisyo ng reputasyon ng domain name at nakikita ang panganib. Aralin: Dahil lamang sa sinabi ng AI na "ligtas" ay hindi katibayan; Ang domain name ay kinumpirma ng edad, reputasyon at data ng pamagat.
Mahinang prompt / Malakas na prompt
Mahinang prompt:
Phishing ba ang email na ito, sabihin sa akin oo/hindi: [email]
Ang prompt na ito ay humihingi ng direktang desisyon sa AI (oo/hindi), hindi ito humihingi ng katwiran o ebidensya, hindi nito kinukuwestiyon ang posibilidad ng isang maling positibo. Ang isang salita na sagot ng AI ay maaaring nakaliligaw at ang personal na data ay maaaring nabuksan ang maskara.
Napakahusay na prompt:
Ang iyong tungkulin: Assistant sa SOC analyst na naghahanda ng pagsusuri sa phishing DRAFT. Paggawa ng desisyon; Huwag sabihing "phishing ito, tanggalin mo." Suriin ang sumusunod na hindi kilalang email sa tatlong layer: (1) content/social engineering signal (urgency, authority, fear, language), (2) URL structure — pagkakaiba sa pagitan ng maliwanag at aktwal na target, typosquat, impersonation; ngunit huwag ipagpalagay na binisita mo ang anumang mga link, (3) kasama sa mga header ang SPF/DKIM/DMARC at pagkakaiba ng nagpadala — markahan ang resulta bilang "[kumpirmahin sa header]". Sabihin kung gaano katibay ang ebidensya para sa bawat tanda; Sumulat din ng hindi bababa sa 2 inosente (false positive) na mga paliwanag. Ginawang reputasyon/pagbuo ng desisyon. Email: [anonymous paste]
Ang malakas na pag-aangkin ay naghihiwalay sa tatlong layer, nagtatanong sa lakas ng ebidensya, nagpapatupad ng maling positibo, ipinagbabawal ang pagpapalagay ng pag-click at katha.
Nakokopya na mga template ng prompt
TEMPLATE NG PAGSUSURI NG NILALAMAN NG EMAIL Suriin ang teksto ng sumusunod na anonymous na email para sa social engineering: presyon ng pagkaapurahan, pagpapanggap ng awtoridad/tatak, takot/gantimpala, kawalan ng personalization, mga kakaiba sa wika/tono. Ipakita ang bawat tanda na may quote. Huwag magpasya; ilista lang ang mga marka at power rating. Email: [i-paste]
URL ANALYSIS TEMPLATE (nang walang pagki-click) Suriin ang sumusunod na URL bilang STRUCTURE (huwag bisitahin, huwag ipagpalagay): pagkakaiba sa pagitan ng maliwanag na text at aktwal na target na domain, typosquat/letter spoofing, subdomain spoofing, abbreviation, kahina-hinalang parameter. HUWAG PEKE ang reputasyon ng domain name; Markahan ang "reputasyon/petsa ng pagpaparehistro ay dapat suriin nang hiwalay".URL: [i-paste]
HEADER INSPECTION TEMPLATE Ibuod ang mga sumusunod na email header: tunay na domain ng nagpadala, Return-Path, mga resulta ng SPF/DKIM/DMARC, hindi pagkakapare-pareho ng path ng server (Natanggap), display name at pagkakaiba sa totoong address. Markahan ang bawat resulta ng "[kumpirmahin sa hilaw na header]"; angkop. Mga Pamagat: [i-paste]
USER BABALA DRAFT TEMPLATESumulat ng isang maikli, mahinahon, hindi nagpaparatang DRAFT na teksto ng babala na ipapadala sa mga empleyado para sa kumpirmadong phishing: ano ang gagawin (huwag i-click, ipasa, tanggalin), bakit, kanino mag-uulat. Huwag gumamit ng panic language. Ang draft na ito ay dumadaan sa pag-apruba ng analyst. Buod ng kaganapan: [i-paste]
Mga karaniwang pagkakamali
- Live na pag-click sa kahina-hinalang link. Ang pagsusuri ay ginagawa sa pamamagitan ng teksto at nakahiwalay na media; Ang live click ay maaaring maging biktima ka rin.
- Pagtitiwala sa oo/hindi desisyon ng AI. Ang nag-iisang salitang "phishing/secure" ay hindi ebidensya; Kumpirmahin ayon sa pamagat, istraktura ng URL, at domain.
- Pag-bypass sa konteksto ng institusyon (false positive). Ang mga lehitimong provider ay nagpapadala rin ng mga email mula sa mga panlabas na domain; Tingnan ang konteksto ng SPF/DKIM/DMARC at makasaysayang paggamit.
- Pagbibigay ng personal/sensitibong data nang walang maskara. Itago ang pangalan, address, impormasyon ng card/password sa e-mail bago suriin.
- Napagkakamalang totoo ang pekeng reputasyon sa field. Maaaring pekein ng AI na ang isang lugar ay "ligtas/kilala"; Kumpirmahin ang petsa ng pagpaparehistro at mga serbisyo ng reputasyon.
Tip: Ang nag-iisang pinakamalakas na indicator sa pagsusuri sa phishing ay kadalasang ang header: kung nabigo lahat ang SPF/DKIM/DMARC at na-spoof ang domain ng nagpadala, magiging napakalakas ng hinala. Ngunit kumpirmahin ito mula sa hilaw na pamagat, hindi mula sa buod ng AI.
Babala: Ang pagdedeklara ng isang email na "phishing" at pagharang nito sa buong organisasyon ay maaari ding makagambala sa isang lehitimong pangnegosyong email. Ang pagtatasa ng AI ay isang katwiran; Ang desisyon na harangan at abiso ng user ay nakasalalay sa analyst pagkatapos ng pamagat at pag-verify ng konteksto.
Sa buod
Tina-target ng phishing ang mga tao, hindi mga diskarte, at mahalagang problema sa wika at pattern; Kaya naman napakalakas nito sa pagsusuri ng AI. Ang isang kahina-hinalang email ay sinusuri sa tatlong layer: content/social engineering, URL/attachment structure, at mga email header (SPF/DKIM/DMARC). Bumubuo ang AI ng mabilis na pagbibigay-katwiran sa bawat layer, ngunit hindi ma-verify ang isang kahina-hinalang link sa pamamagitan ng pag-click dito, hindi alam ang konteksto ng institusyonal, at maaaring gumawa ng "ligtas/phishing" na desisyon. Kaya ang pagtatasa ng AI ay isang hypothesis: ang pag-verify ng pamagat ay kinumpirma ng reputasyon ng domain at konteksto ng institusyon, pagkatapos ay ang desisyon na harangan at abiso ng user ay ginawa ng analyst. Dalawang panuntunan ang nananatiling pare-pareho: huwag mag-click sa mga kahina-hinalang link nang live, huwag magbahagi ng sensitibong data nang walang maskara.
Gawain ng aplikasyon
Kumuha ng sample ng mga kahina-hinalang email (alinman sa anonymized o sample mula sa sarili mong quarantine). Hayaang lutasin ng AI ang tatlong layer nang hiwalay gamit ang mga template na "Content", "URL" at "Title". I-verify ang iyong sarili sa raw data (lalo na ang SPF/DKIM/DMARC sa header) ang pinakamalakas na tagapagpahiwatig na minarkahan ng AI sa bawat layer at isaalang-alang ang hindi bababa sa isang maling positibong paliwanag. Panghuli, magpasya: phishing ba ito o hindi, at bakit — isulat kung anong ebidensya ang pinagbabatayan mo ng iyong desisyon.
checklist
- [ ] Hindi ko pinakilala ang email bago ang pagsusuri; ang personal/sensitibong data ay na-mask.
- [ ] Sinuri ko ang tatlong layer (nilalaman, URL/attachment, pamagat) nang hiwalay.
- [ ] Hindi ako nag-click ng anumang mga kahina-hinalang link nang live; Na-parse ko ang URL bilang isang istraktura.
- [ ] Na-verify ko ang resulta ng SPF/DKIM/DMARC sa raw header.
- [ ] Kinumpirma ko ang "phishing/safe" na desisyon ng AI na may ebidensya, hindi ako nagtiwala dito nang walang taros.
- [ ] Isinaalang-alang ko ang hindi bababa sa isang maling positibo (inosente) na pahayag.
- [ ] Bilang isang analyst, nagpasya akong i-block at i-notify ang mga user.