系统可以检测并或者阻止多种类型的文件（包括 PDF、Microsoft Office 文档及其他）中的恶意软
件。受管设备监控这些文件类型传输的基于应用协议的特定网络流量。设备检测到合格文件时，
它可以将该文件的 SHA-256 哈希值发送到防御中心，后者然后使用这些信息执行恶意软件云查
找。根据这些结果，思科云将文件性质返回到防御中心。

系统在网络流量中检测到文件时，

文件存储功能允许设备将合格文件存储到硬盘或恶意软件存储

包。对于性质为 Unknown 的可执行文件，无论设备是否存储文件，设备都可以提交该文件进行
动态分析。云返回到防御中心：

•

威胁评分，指明文件包含恶意软件的可能性；以及

•

动态分析摘要报告，详述为云分配该威胁评分的原因。

如果文件是合格的可执行文件，则设备还可以对文件结构执行 Spero 分析，并将产生的 Spero 签
名提交到云。云使用该签名对动态分析进行补充，从而确定文件是否是恶意软件。