[發(fā)明專利]釣魚(yú)郵件檢測(cè)方法、裝置、電子設(shè)備及存儲(chǔ)介質(zhì)

在審

• 申請(qǐng)?zhí)枺?/td>: 201811546175.7
• 申請(qǐng)日: 2018-12-17
• 公開(kāi)（公告）號(hào): CN110868378A
• 公開(kāi)（公告）日: 2020-03-06
• 發(fā)明（設(shè)計(jì)）人: 余磊;李曉玲;劉燕子
• 申請(qǐng)（專利權(quán)）人: 北京安天網(wǎng)絡(luò)安全技術(shù)有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L12/58
• 代理公司: 北京市廣友專利事務(wù)所有限責(zé)任公司 11237
• 代理人: 祁獻(xiàn)民

1.一種釣魚(yú)郵件檢測(cè)方法，其特征在于，包括：

從郵件流量中獲取待檢測(cè)郵件；

檢測(cè)所述待檢測(cè)郵件是否包含預(yù)定的行為特征；

若所述待檢測(cè)郵件包含預(yù)定的行為特征，則確定所述待檢測(cè)郵件為釣魚(yú)郵件。

2.根據(jù)權(quán)利要求1所述的釣魚(yú)郵件檢測(cè)方法，其特征在于，所述檢測(cè)所述待檢測(cè)郵件是否包含預(yù)定的行為特征，包括：

檢測(cè)所述待檢測(cè)郵件是否包含第一類行為特征；所述第一類行為特征包括：所述待檢測(cè)郵件中，所使用的發(fā)件人信箱或收件人信箱，為免費(fèi)郵箱，或者為已發(fā)生過(guò)釣魚(yú)事件的郵箱；和/或，

檢測(cè)所述待檢測(cè)郵件是否包含第二類行為特征；所述第二類行為特征包括：所述待檢測(cè)郵件中，郵件的主題、正文或附件中，含有誘導(dǎo)性關(guān)鍵詞，或郵件的正文中的詢盤(pán)內(nèi)容缺少關(guān)鍵性描述信息；和/或，

檢測(cè)所述待檢測(cè)郵件是否包含第三類行為特征；所述第三類行為特征包括：所述待檢測(cè)郵件中，附件的表面特征與實(shí)際特征不一致；和/或，

檢測(cè)所述待檢測(cè)郵件是否包含第四類行為特征；所述第四類行為特征包括：將所述待檢測(cè)郵件的附件在虛擬環(huán)境中運(yùn)行時(shí)，所述附件中含有惡意行為。

3.根據(jù)權(quán)利要求2所述的釣魚(yú)郵件檢測(cè)方法，其特征在于，所述附件的表面特征包括附件的文件后綴名和/或附件的圖標(biāo)；所述的附件的實(shí)際特征包括附件打開(kāi)后或執(zhí)行后所具有的行為特征。

4.根據(jù)權(quán)利要求2所述的釣魚(yú)郵件檢測(cè)方法，其特征在于，所述附件的表面特征與實(shí)際特征不一致，包括：

附件表面顯示為壓縮格式或文本格式，但該附件實(shí)際為可執(zhí)行的文件；

附件表面顯示為圖片格式，但該附件實(shí)際執(zhí)行后具有鏈接導(dǎo)向行為；

附件表面顯示為文檔格式，但該附件打開(kāi)后在文檔中包含有鏈接導(dǎo)向地址；

附件表面顯示為可執(zhí)行文件，但實(shí)際卻是帶有宏病毒的office文檔；

附件表面顯示為可執(zhí)行文件，但實(shí)際執(zhí)行后具有遠(yuǎn)程連接、遠(yuǎn)程下載、或安裝的行為；

附件表面顯示為可執(zhí)行文件，但實(shí)際執(zhí)行后，只在后臺(tái)運(yùn)行、或具有執(zhí)行其他程序的行為。

5.根據(jù)權(quán)利要求2所述的釣魚(yú)郵件檢測(cè)方法，其特征在于，若所述待檢測(cè)郵件包含預(yù)定的行為特征，則確定所述待檢測(cè)郵件為釣魚(yú)郵件，包括：

若所述待檢測(cè)郵件包含所述第一類行為特征、第二類行為特征、第三類行為特征、第四類行為特征中的至少三類行為特征，則確定所述待檢測(cè)郵件為釣魚(yú)郵件。

6.一種釣魚(yú)郵件檢測(cè)裝置，其特征在于，包括：

獲取模塊，用于從郵件流量中獲取待檢測(cè)郵件；

檢測(cè)模塊，用于檢測(cè)所述待檢測(cè)郵件是否包含預(yù)定的行為特征；

判斷模塊，用于若所述待檢測(cè)郵件包含預(yù)定的行為特征，則確定所述待檢測(cè)郵件為釣魚(yú)郵件。

7.根據(jù)權(quán)利要求6所述的釣魚(yú)郵件檢測(cè)裝置，其特征在于，所述檢測(cè)模塊，包括：

第一檢測(cè)子模塊，用于檢測(cè)所述待檢測(cè)郵件是否包含第一類行為特征；所述第一類行為特征包括：所述待檢測(cè)郵件中，所使用的發(fā)件人信箱或收件人信箱，為免費(fèi)郵箱，或者為已發(fā)生過(guò)釣魚(yú)事件的郵箱；和/或，

第二檢測(cè)子模塊，用于檢測(cè)所述待檢測(cè)郵件是否包含第二類行為特征；所述第二類行為特征包括：所述待檢測(cè)郵件中，郵件的主題、正文或附件中，含有誘導(dǎo)性關(guān)鍵詞，或郵件的正文中的詢盤(pán)內(nèi)容缺少關(guān)鍵性描述信息；和/或，

第三檢測(cè)子模塊，用于檢測(cè)所述待檢測(cè)郵件是否包含第三類行為特征；所述第三類行為特征包括：所述待檢測(cè)郵件中，附件的表面特征與實(shí)際特征不一致；和/或，

第四檢測(cè)子模塊，用于檢測(cè)所述待檢測(cè)郵件是否包含第四類行為特征；所述第四類行為特征包括：將所述待檢測(cè)郵件的附件在虛擬環(huán)境中運(yùn)行時(shí)，所述附件中含有惡意行為。

8.根據(jù)權(quán)利要求7所述的釣魚(yú)郵件檢測(cè)裝置，其特征在于，所述附件的表面特征包括附件的文件后綴名和/或附件的圖標(biāo)；所述的附件的實(shí)際特征包括附件打開(kāi)后或執(zhí)行后所具有的行為特征。