[發明專利]一種郵箱惡意自動轉發行為識別方法及裝置

有效

• 申請號: 201911365201.0
• 申請日: 2019-12-26
• 公開（公告）號: CN111083043B
• 公開（公告）日: 2021-11-23
• 發明（設計）人: 趙雙;王菲飛;鐘山;白波;劉澄澄;于平;于海波
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L12/58
• 分類號: H04L12/58;H04L29/06
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 陳艷

1.一種郵箱惡意自動轉發行為識別方法，包括以下步驟：

（1）從接入的網絡流量中抽取POP/IMAP/SMTP協議數據，對抽取的協議數據進行解析，形成郵件元數據集F={M₁，M₂，…，M_n}，其中M_i表示一條郵件數據，其為包含from_i，to_i，s_i，t_i的四元組，from為郵件發件人，to為郵件收件人，s為郵件主題，t為郵件發送時間，i∈[1,n]，n為郵件元數據數量，發件人from_i和收件人to_i格式均為username@hostname的字符串，username代表郵箱登錄用戶名，hostname代表郵箱服務提供商；

（2）對郵件元數據集進行數據清洗，并將清洗后數據整合、排序形成一個有序數據集；

（3）從完整的有序數據集中提取要檢測的特定時間區間內的數據，形成一個待檢測數據文件，設定滑動窗口時間，對待檢測數據文件中每條數據以滑動窗口為范圍向前搜索數據，按設定規則篩選具有自動轉發關系的郵件，并提取轉發源、轉發目標和轉發比例，生成郵件自動轉發關系列表，其中所述設定規則是指在所述滑動窗口時間內存在兩條按時間先后順序排列的郵件元數據，前一個元數據中的收件人為后一個元數據中的發件人，且兩個郵件數據主題相同，則判定前一條元數據中的收件人將郵件自動轉發至后一個元數據中的收件人，轉發源為前一個元數據中的收件人，轉發目標為后一個元數據中的收件人；

（4）過濾掉郵件自動轉發關系列表中轉發比例低于設定閾值的轉發關系，并對相似的轉發目標進行歸并，對歸并形成的每一類轉發目標，統計其轉發源數量，若同類轉發目標對應的轉發源數量超過設定閾值，則判定這些轉發源與其轉發目標之間存在惡意自動轉發行為；

其中，通過以下步驟歸并形成每一類轉發目標：

a）對各轉發目標進行字符串處理，得到郵箱登錄用戶名，其中所述字符串處理包括：刪除各轉發目標中郵箱登錄用戶名的純數字最大右子串；

b）對具有相同郵箱登錄用戶名的轉發目標，若郵箱服務提供商相同，則歸并為一類。

2.如權利要求1所述的一種郵箱惡意自動轉發行為識別方法，其特征在于，步驟（2）中所述清洗和排序是指對郵件元數據集F進行篩選，去除四元組信息殘缺數據，并對數據M_i以元素t進行排序，生成一個有序數據集F^’。

3.如權利要求1所述的一種郵箱惡意自動轉發行為識別方法，其特征在于，步驟（3）中所述特定時間區間為1d。

4.如權利要求1所述的一種郵箱惡意自動轉發行為識別方法，其特征在于，步驟（3）中所述滑動窗口時間為3min。

5.如權利要求1所述的一種郵箱惡意自動轉發行為識別方法，其特征在于，步驟（3）所述自動轉發關系包含了從待檢測數據集中通過自動轉發關系判定規則統計分析出的轉發源、轉發目標、自動轉發次數、自動轉發比例信息。

6.如權利要求1所述的一種郵箱惡意自動轉發行為識別方法，其特征在于，步驟（4）中自動轉發比例的設定閾值th1為0.9-1.0。

7.如權利要求1所述的一種郵箱惡意自動轉發行為識別方法，其特征在于，步驟（4）中轉發源數量設定閾值th2不小于2。

8.一種郵件惡意自動轉發行為識別裝置，包括：

數據抽取與解析模塊，用于接收原始流量數據，從中抽取POP/IMAP/SMTP數據，最終數據解析成郵件元數據，形成郵件元數據集F={M₁，M₂，…，M_n}，其中M_i表示一條郵件數據，其為包含from_i，to_i，s_i，t_i的四元組，from為郵件發件人，to為郵件收件人，s為郵件主題，t為郵件發送時間，i∈[1,n]，n為郵件元數據數量，發件人from_i和收件人to_i格式均為username@hostname的字符串，username代表郵箱登錄用戶名，hostname代表郵箱服務提供商；

數據清洗與排序模塊，用于處理對郵件元數據進行清洗，并對數據進行排序，生成有序數據集；

自動轉發關系生成模塊，用于根據檢測時間從有序數據集中選擇待檢測數據，統計郵件收發數據形成收郵統計列表，并根據滑動時間窗口按設定規則識別自動轉發關系，轉發源自動轉發次數，結合收郵統計列表計算自動轉發關系自動轉發比，并生成自動轉發關系列表，其中所述設定規則是指在所述滑動窗口時間內存在兩條按時間先后順序排列的郵件元數據，前一個元數據中的收件人為后一個元數據中的發件人，且兩個郵件數據主題相同，則判定前一條元數據中的收件人將郵件自動轉發至后一個元數據中的收件人，轉發源為前一個元數據中的收件人，轉發目標為后一個元數據中的收件人；

惡意自動轉發行為分析與判定模塊，用于對自動轉發關系列表進行分析，過濾掉自動轉發比低于設定閾值的轉發關系，將相似轉發目標歸并為一類，轉發關系按轉發目標歸并類別劃分，統計類別轉發源數量，最終通過設定閾值判定郵箱惡意轉發行為，并輸出結果和告警；

其中，通過以下步驟歸并形成的每一類轉發目標：

a）對各轉發目標進行字符串處理，得到郵箱登錄用戶名，其中所述字符串處理包括：刪除各轉發目標中郵箱登錄用戶名的純數字最大右子串；

b）對具有相同郵箱登錄用戶名的轉發目標，若郵箱服務提供商相同，則歸并為一類。