Spero 分析は、実行可能ファイルのメタデータやヘッダー情報などの構造的特徴を検査します。この情報に基づいて Spero 署名を生成した後、ファイルが適格な実行可能ファイルである場合、デバイスはそのファイルを AMP クラウドの Spero ヒューリスティック エンジンに送信します。Spero エンジンは、Spero シグネチャに基づいて、ファイルがマルウェアであるかどうかを判断します。
参照：
-> Spero 分析は、(実行可能) ファイルの署名のみを AMP クラウドにアップロードします。ファイル全体をアップロードするわけではありません。動的分析により、ファイルが AMP ThreatGrid に送信されます。
Dynamic Analysis は、ファイル（全体）を Cisco Threat Grid（旧 AMP Threat Grid）に送信します。Cisco Threat Grid は、サンドボックス環境でファイルを実行し、ファイルの動作を分析してファイルに悪意があるかどうかを判断し、ファイルにマルウェアが含まれている可能性を示す脅威スコアを返します。脅威スコアから、割り当てられた脅威スコアの理由を含む動的分析概要レポートを表示できます。また、Cisco Threat Grid を参照して、組織が送信したファイルの詳細レポートや、組織が送信しなかったファイルの限られたデータを含むスクラブされたレポートを表示することもできます。
ローカル マルウェア分析では、Cisco Talos Security Intelligence and Research Group (Talos) が提供する検出ルール セットを使用して、管理対象デバイスが実行可能ファイル、PDF、オフィス ドキュメント、およびその他のタイプのファイルで最も一般的なタイプのマルウェアをローカルに検査できます。ローカル分析では AMP クラウドにクエリを実行せず、ファイルを実行しないため、ローカル マルウェア分析は時間とシステム リソースを節約します。-> マルウェア分析はファイルをどこにもアップロードせず、ローカルでファイルをチェックするだけです。
サンドボックス分析機能はなく、仮想マシン内で疑わしいファイルを実行する動的分析の方法にすぎません。