AI 的工作是調查
不是陪聊
Trellix Wise
Trellix Wise 建在長期的分析與機器學習基礎上，用來自動調查告警、關聯郵件／端點／網路事件、並給出導引式回應。它可部署於雲端、地端與隔離網，這點對關鍵基礎設施比功能清單重要。
Context, not headline
攻擊者把 AI 寫進執行層，調查還停在人工開分頁，這條鏈會斷
Trellix Advanced Research Center 在 2026 年威脅報告中指出，部分惡意程式已在執行期呼叫語言模型、或以量產變種增加偵測成本。基礎設施裡的駐留時間，取決於告警能不能在分鐘級被排優先、被關聯、被交代下一步。
Defense-side AI
Wise 實際接手的
四段工作
-
自動調查告警，把低可信與重複項壓下去，讓人看需要人看的。
-
跨郵件、端點、網路與第三方來源做關聯，補單點產品拼不出來的敘事。
-
導引式回應：下一步是隔離、取證還是回溯，寫成可核對的建議。
-
自然語言查詢與調查說明，讓不同年資的分析師走同一套脈絡。
Where Wise sits
每一層控制點交出訊號，
Wise 交出敘事
| 控制點 | 這一層看見什麼 | Wise 接上之後多出來的 |
|---|---|---|
| Email Security | 以網址、附件進入的初始入侵，以及協作平台上的惡意物件 | 把郵件事件接到後續端點行為與外連，確認是單點釣魚還是行動開端 |
| EDR + Forensics | 程序、持久化、憑證與影響範圍；修復回溯回到已知良好狀態 | 自動補調查問題、建議圍堵範圍，減少在主機間切換工具的時間 |
| NDR | 東西向流量、橫向移動、與 ATT&CK 多階段對應的網路行為 | 把網路告警和端點、郵件對成同一條入侵路徑 |
| IPS | 在網路上即時偵測並阻擋複雜惡意程式，含無簽章技術 | 解釋為何攔、攔到哪一階段，避免只留下一則阻擋紀錄 |
| Threat Intelligence | 檔案／網域／IP 聲譽、優先順序、獵捕線索 | 讓情資進調查，而不是另開一份週報 |
APT infrastructure
駐留發生在目錄、郵件
與東西向，
復原必須寫進同一頁
對政府、金融與能源／工控單位，APT 基礎設施安全通常落在三件事
- 身分與目錄有沒有被搬
- 郵件與協作是否持續被當跳板
- 產線或核心網段的東西向有沒有人看
-
隔離網
Wise 與原生控制可落在不能出網的環境。先界定哪些日誌與感測器留在網段內，再談與外網情資的同步頻率。
-
OT／工控
優先順序是穩定與可見性。應用白名單、網路偵測與集中事件視圖，用來排修補與應變，不把「主動攔截一切」寫成工控預設。
Limits
Wise 不取代值勤決策
- 不宣稱 100% 攔截或保證不被駐留。
- 不把 GenAI 說成可在無資料來源時憑空發現 APT。
- 不要求先拆 SIEM、防火牆或既有 EDR 才能開始。
- 分析師仍負責核對影響範圍、批准隔離與復原窗口，尤其在 OT。
專頁 FAQ
Wise 和 XDR／Helix 差在哪
XDR／Helix 負責把多向量、多廠商資料收成可營運的案件。Wise 是平台內的生成式調查能力，跑在這些資料上做調查、關聯與導引回應。賣點是調查被做完，不是又多一個主控台名稱。
沒有 NDR 也能先上 Wise 嗎
可以從已有的郵件或 EDR 告警開始。缺東西向可見性時，APT 橫向這一段仍是盲的。PoC 應寫明先補哪一層訊號，而不是先承諾完整殺傷鏈覆蓋。
情資會離開現場嗎
視部署模式而定。隔離網與政府場址需在評核時標示哪些聲譽查詢可離線快取、哪些必須出網。本頁不預設全部上雲。