Minden postafiók érzékelő. Minden bejelentésre válasz érkezik.

Ha a mi szimulációnk volt, azt jóváírjuk neki, és javul a bejelentési pontszáma — pontosan ezt a viselkedést próbálja a program kialakítani. Ha valódi levél volt, a vizsgálati platformra kerül: előbb szabályalapú ellenőrzés, majd a linkek és a csatolmányok több reputációs forráson, azután a fejlécek — SPF, DKIM, DMARC, a Received-lánc — és a küldő domain, valamint a levélkiszolgáló reputációja. A végső döntést ember hozza meg, és a művelet minden érintett postafiókra kiterjed: megkeresés, törlés, karantén vagy áthelyezés. A bejelentő visszajelzést kap arról, mi lett az ügy vége, a saját nyelvén.

Mert az ellenőrzések időbe telnek — és éppen azok érnek valamit, amelyek időbe telnek. A fenyegetésfelderítési lekérdezéseknek, a szabályilleszkedésnek és minden automatikus műveletnek be kell fejeződnie, mielőtt egy ügy lezárható, és akkor is jelöljük lezártnak, amikor ez megtörtént.

Az egyértelmű eseteket playbookok zárják le automatikusan. A többi elemzőre vár, és ez szándékos, nem torlódás.

Mert más adatot néznek, és más időpontban. Ugyanaz az URL lehet tiszta az egyik forrásban, ismeretlen a másodikban és káros a harmadikban — és ez egy új kampány első óráiban a leggyakoribb, vagyis pontosan akkor, amikor egy bejelentés a legtöbbet ér.

Ezért áll össze az eredmény egyetlen kockázati pontszámmá, nem ítéletek sorává — és ezért nézi át ember mindazt, ami nem egyértelmű.

Alkalmazásregisztráció rendszergazdai hozzájárulással, benne bérlői szintű postafiók-olvasás és -írás.

Ez jelentős jogosultság, amelyet érdemes megérteni, nem csak jóváhagyni: ez teszi lehetővé, hogy egy adathalász levelet minden postafiókból megtaláljunk és eltávolítsunk, amely megkapta, ne csak a bejelentőéből. Enélkül a szolgáltatás elemezni tud egy bejelentést, de az eredmény alapján nem tud lépni. A teljes jogosultságlistát végigvezetjük a biztonsági csapatukkal, mielőtt bármit megadnának.

Nem. A vizsgálat önmagában is működik: a bejelentő gomb, az elemzés és az eltávolítás nem függ attól, hogy futnak-e szimulációk, és egyes ügyfeleink csak ezt veszik meg.

Együtt viszont erősítik egymást, méghozzá láthatóan — az emberek sokkal többet jelentenek be, ha látták, hogy a bejelentésnek van következménye.