用途：本技能用于部署和配置 Proofpoint Targeted Attack Protection（TAP）邮件沙箱，在隔离环境中引爆可疑附件和 URL，以检测零日恶意软件与规避式钓鱼载荷。适用于部署该能力、建立符合合规要求的安全控制、改进该领域安全架构，以及开展需要此实现的安全评估。
主要能力：附件沙箱在虚拟机（Windows、macOS、Android）中引爆文件；URL Defense 重写 URL 并在点击时引爆；集成 NexusAI 威胁情报；TAP Dashboard 提供针对本组织的威胁实时可见性；攻击活动关联（campaign correlation）；Very Attacked People（VAP）识别最受攻击的个人。可检测的沙箱规避手法包括延迟执行（定时炸弹恶意软件）、VM 检测绕过、需用户交互（点击启用宏）、检测分析环境的沙箱感知恶意软件、加密或密码保护附件、带延迟 C2 取回的多阶段载荷。
使用方式（工作流）：步骤 1，在 Proofpoint 中配置 TAP：为入站邮件策略启用 TAP，配置沙箱配置文件（需引爆的附件类型），设置 URL Defense 重写策略，配置恶意判定后的隔离操作。步骤 2，调优附件策略：建议引爆 .exe、.dll、.scr、.doc(m)、.xls(m)、.ppt(m)、.pdf、.zip、.rar、.7z、.iso；不解引爆直接阻止 .bat、.cmd、.ps1、.vbs、.js、.wsf、.hta；对密码保护压缩包尝试常见密码后隔离；动态投递可先投递邮件正文，暂扣附件至判定完成。步骤 3，配置 URL Defense：对所有入站邮件启用 URL 重写，设置点击时引爆，阻止访问恶意 URL，对可疑（未确认恶意）URL 显示警告页，配置允许域绕过列表。步骤 4，设置 TAP Dashboard 监控：向安全团队发送每日威胁摘要邮件，设置针对定向攻击的实时告警，监控 VAP 报告中的高风险用户，审查攻击活动聚类。步骤 5，与 SIEM 集成：配置 syslog/API 导出至 SIEM，为 TAP 告警创建关联规则，设置自动化响应工作流。
验证：附件引爆可捕获 EICAR 测试文件和启用宏的文档；URL Defense 能重写并阻止已知钓鱼 URL；TAP Dashboard 显示威胁摘要；SIEM 接收 TAP 事件并告警。
前提条件：需 Proofpoint Email Protection 许可证及 TAP 附加组件、Proofpoint 管理控制台管理员权限、了解邮件投递架构（MX 记录、邮件流规则），并具备 SIEM 集成能力。
限制与缺失：资料未提供具体价格、许可费用、部署周期或性能指标；部分配置细节未展开，实际实施需以 Proofpoint 官方文档与自身环境为准。