AVL Code
全部案例
#022 · 威胁研判

案例研究 · 威胁研判

仿冒公安部域名（Typosquatting）威胁研判分析

安全运营人员收到一条仿冒公安部政务域名的可疑域名，用一句自然语言指令驱动 AVL Code 拆解任务、派出三路子代理并行核查，约 10 分钟拿到含 IOC 清单、7 维风险评估与三层处置建议的完整研判报告，定性为高置信度恶意域名。

对象：单一可疑域名 msp.gov.cn.poliec.com· 方式：1 条指令 → 3 路并行子代理· 模型：AVL-Zero · 澜砥 N2.5· 交付：完整威胁研判报告（Markdown）· 耗时：并行研判 5m0s · 全程约 10 分钟

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 查看案例报告

概览

  1. 01

    任务拆解 — 一句研判指令拆成 4 个子任务

    你把可疑域名交给 AVL Code，看着它把"全维度威胁研判"拆成域名基础信息核查、页面恶意特征检测、威胁情报关联分析、报告整合输出四件事，并派出 3 路子代理并行执行。

  2. 02

    并行研判 — 5 分钟窗口跑完三条证据线

    三路子代理并行核查：域名注册与 DNS 基础信息、页面恶意特征、威胁情报关联，先后交回结果（4m21s / 仍在跑 / 4m36s），互不阻塞。

  3. 03

    汇总验收 — 高置信度恶意定性与三层处置

    主 Agent 整合三路结果生成完整研判报告交你检查验收：官方反诈标记、复合仿冒手法、7 维综合风险评估、IOC 清单与 P0/P1/P2 处置建议。

向 AVL Code 发布任务

对仿冒域名msp.gov.cn.poliec.com开展全维度威胁研判，输出完整的研判报告

计划:① 先拆解任务为域名基础信息核查、页面恶意特征检测、威胁情报关联分析、报告整合输出4个子任务 → ② 派4个子Agent并行执行各子任务 → ③ 汇总结果形成完整研判报告交你检查验收

前提：AVL Code 可用，待研判域名在手。无需预先访问该域名——官方涉诈警示页由研判过程自动获取，避免与可疑站点直接交互

复现材料见文末 亲自检测 ↓

任务拆解

研判的开局是把"全维度"拆成可并行执行的子任务：

你输入 → AVL Code 
对仿冒域名msp.gov.cn.poliec.com开展全维度威胁研判，输出完整的研判报告

计划:① 先拆解任务为域名基础信息核查、页面恶意特征检测、威胁情报关联分析、报告整合输出4个子任务 → ② 派4个子Agent并行执行各子任务 → ③ 汇总结果形成完整研判报告交你检查验收
AVL Code 执行 → 你会看到
拆解为 4 个子任务：域名基础信息核查 · 页面恶意特征检测 · 威胁情报关联分析 · 报告整合输出
→ 派出 3 路子代理并行执行

并行研判

三条证据线在 5 分钟窗口内并行跑完，互不阻塞：

你输入 → AVL Code 
（同一条指令持续驱动，未追加新输入）
AVL Code 执行 → 你会看到
域名注册与 DNS 基础信息（4m21s）· 页面恶意特征（进行中）· 威胁情报关联（4m36s）
→ 官方涉诈警示页由研判过程自动获取，避免与可疑站点直接交互

汇总验收

主 Agent 整合三路结果，产出可进工单的完整研判报告：

你输入 → AVL Code 
（同一条指令持续驱动，未追加新输入）
AVL Code 执行 → 你会看到
复合仿冒手法：Typosquatting（poliec.com ↔ police.com 误植）+ mps.gov.cn 政府子域嫁接
→ 注册信息：NameSilo · PrivacyGuardian 隐私保护 · 注册仅 2.5 个月 · 仅 dnsowl.com 权威 NS，无 A/MX 记录
→ 国家反诈中心 / 工信部反诈中心 / 中国联通联合标记为诈骗网站
→ 7 维综合风险评估 · IOC 清单 · P0/P1/P2 三层处置建议

亲自检测

整个任务只有一句指令，把 <可疑域名> 换成你手里的目标即可复现：

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 查看案例报告 
对仿冒域名 <可疑域名> 开展全维度威胁研判，输出完整的研判报告
  • 局限：本会话导出为折叠视图，子代理内部的具体工具调用序列与 Whois/DNS 原始返回未展开，无法逐调用复现；DNS 权威 NS 归属两处来源不一致（会话正文 Cloudflare DNS vs 研判报告/既有条目 dnsowl.com），以研判报告为准。

下一个问题： P2 处置建议指向检测侧——把 IOC 清单转成 NIDS/SIEM 检测规则并验证告警覆盖，是做完这个研判后自然的下一个任务。