[發明專利]一種基于行為分析的郵件審計方法及裝置

有效

• 申請號: 201811083322.1
• 申請日: 2018-09-17
• 公開（公告）號: CN109039874B
• 公開（公告）日: 2021-08-20
• 發明（設計）人: 蔡福杰;范淵;莫金友;李凱
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L12/58
• 分類號: H04L12/58;H04L29/06
• 代理公司: 北京超凡志成知識產權代理事務所(普通合伙) 11371
• 代理人: 王文紅

1.一種基于行為分析的郵件審計方法，其特征在于，包括：

獲取待審計郵件的郵件信息，其中，所述郵件信息包括：郵件頭信息和郵件正文信息；

根據預設特征庫分別對所述郵件頭信息和所述郵件正文信息進行特征標簽的設置，其中，所述預設特征庫包括：郵件來源特征庫，郵件涉及行業特征庫，郵件行為特征庫；

根據所述特征標簽對所述待審計郵件進行風險檢測，檢測得到所述待審計郵件是否為釣魚郵件的信息；

其中，根據預設特征庫分別對所述郵件頭信息和所述郵件正文信息進行特征標簽的設置包括：

根據所述郵件頭信息和所述郵件正文信息確定所述待審計郵件的目標郵件來源特征，并將所述目標郵件來源特征作為所述待審計郵件的郵件來源標簽，其中，所述目標郵件來源特征為所述郵件來源特征庫中的特征，所述郵件來源特征庫包含多類郵件來源特征，每類郵件來源特征中包含多個來源特征詞匯；

根據所述郵件頭信息和所述郵件正文信息確定所述待審計郵件所屬的目標郵件涉及行業特征，并將所述目標郵件涉及行業特征作為所述待審計郵件的郵件涉及行業標簽，其中，所述目標郵件涉及行業特征為所述郵件涉及行業特征庫中的特征，所述郵件涉及行業特征庫包含多類郵件涉及行業特征，每類郵件涉及行業特征中包含多個行業特征詞匯；

根據所述郵件正文信息確定所述待審計郵件的目標郵件行為特征，并將所述目標郵件行為特征作為所述待審計郵件的郵件行為標簽，其中，所述目標郵件行為特征為所述郵件行為特征庫中的特征，所述郵件行為特征庫包含多類郵件行為特征，每類郵件行為特征中包含多個行為特征詞匯；

根據所述特征標簽對所述待審計郵件進行風險檢測包括：

根據所述特征標簽采用不同的惡意特征進行匹配；

根據匹配結果進行風險度計算，得到風險值；

如果所述風險值大于預設閾值，則確定所述待審計郵件為釣魚郵件；

在檢測得到所述待審計郵件是否為釣魚郵件的信息之后，所述方法還包括：

基于所述郵件信息，所述特征標簽，所述是否為釣魚郵件的信息更新所述待審計郵件所對應的發件人信用庫。

2.根據權利要求1所述的方法，其特征在于，獲取待審計郵件的郵件信息包括：

獲取所述待審計郵件；

根據多用途互聯網郵件擴展類型標準對所述待審計郵件進行解析，得到所述待審計郵件的郵件信息。

3.根據權利要求2所述的方法，其特征在于，獲取所述待審計郵件包括：

在網絡流量中提取郵件數據流，其中，所述郵件數據流至少包括：SMTP協議的數據流，IMAP協議的數據流，POP協議的數據流，WEBMALL協議的數據流；

對所述郵件數據流進行解析，進而得到郵件格式的待審計郵件；

或者，

在郵件格式的文件中讀取所述待審計郵件。

4.根據權利要求1所述的方法，其特征在于，根據所述郵件頭信息和所述郵件正文信息確定所述待審計郵件的目標郵件來源特征包括：

如果所述郵件頭信息中存在發件人郵箱地址配置時，則將所述發件人郵箱地址配置作為所述待審計郵件的目標郵件來源特征；

如果不存在所述發件人郵箱地址配置時，則將所述郵件正文信息中的郵件正文句首稱呼與所述郵件來源特征庫中的來源特征詞匯進行匹配，并根據與所述郵件正文句首稱呼相匹配的來源特征詞匯所屬的郵件來源特征確定所述目標郵件來源特征；

如果不存在所述發件人郵箱地址配置，且不存在所述郵件正文句首稱呼，則所述目標郵件來源特征為陌生人。

5.根據權利要求1所述的方法，其特征在于，根據所述郵件頭信息和所述郵件正文信息確定所述待審計郵件所屬的目標郵件涉及行業特征包括：

將所述郵件頭信息和所述郵件正文信息分別與所述行業特征詞匯進行匹配；

根據與所述郵件頭信息和所述郵件正文信息相匹配的行業特征詞匯所屬的郵件涉及行業特征確定所述目標郵件涉及行業特征。