用途：面向 SOC 团队，缓解可疑文件告警量大、人工提交沙箱成为告警分诊瓶颈的问题，对端点与邮件安全工具隔离的文件自动给出判定，并在事件响应中快速识别恶意软件家族、提取 IOC。
主要能力：从 EDR 隔离 API、邮件网关导出、网络捕获等来源收集文件并计算 MD5/SHA1/SHA256；用 VirusTotal 与 MalwareBazaar 做哈希预筛，判断是否已知恶意、疑似干净或未知；对未知样本提交 Cuckoo Sandbox 或 Joe Sandbox 做动态分析，轮询任务状态并获取报告；从报告中提取 DNS、HTTP、主机、释放文件、进程、注册表等指标；结合预筛与沙箱结果计算综合分，输出 MALICIOUS、SUSPICIOUS、POTENTIALLY_UNWANTED 或 CLEAN 及置信度；将判定推送 Splunk HEC，并把 IOC 推送到防火墙做阻断或 sinkhole。
使用方式：需准备沙箱环境（Cuckoo、Joe Sandbox、Any.Run 或 VMRay）、VirusTotal API key、MalwareBazaar API、文件收集机制，以及 Python 3.8+ 与 requests、vt-py、pefile 库，并部署无生产连通性的隔离分析网络。流程按收集、预筛、沙箱提交、IOC 提取与判定、推送 SIEM、编排六步实现。
限制：不得在生产环境分析活体恶意样本，必须使用隔离沙箱基础设施；资料未提供具体收费、价格与平台支持范围，也未给出完整部署与运维细节。