[發明專利]一種異常郵件檢測方法及裝置

有效

• 申請號: 202011614644.1
• 申請日: 2020-12-30
• 公開（公告）號: CN112822168B
• 公開（公告）日: 2022-09-23
• 發明（設計）人: 郝傳洲;黃俊;潘登
• 申請（專利權）人: 綠盟科技集團股份有限公司;北京神州綠盟科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L51/42
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 趙小霞

1.一種異常郵件檢測方法，其特征在于，包括：

獲取待檢測郵件的行為信息、發送所述待檢測郵件的發件郵箱和接收到所述待檢測郵件的收件郵箱，其中，所述行為信息表征發送所述待檢測郵件時所述發件郵箱的發送行為的信息；

確定所述收件郵箱的常用聯系人集合，并判斷所述發件郵箱是否包含在所述常用聯系人集合中，其中，所述常用聯系人集合表征在預設時間范圍內與所述收件郵箱之間的往來郵件的數量超過預設數量閾值的常用郵箱的集合；

若確定所述發件郵箱包含在所述常用聯系人集合中，則通過將所述行為信息與預先存儲的標準行為信息進行匹配，確定所述待檢測郵件的郵件類型，否則，通過確定所述發件郵箱與所述常用聯系人集合中包含的各常用郵箱之間的郵箱相似度，確定所述待檢測郵件的郵件類型，其中，所述標準行為信息表征發送非異常郵件時所述發件郵箱的發送行為的信息；

根據所述郵件類型，確定所述待檢測郵件是否為異常郵件。

2.如權利要求1所述的方法，其特征在于，所述常用聯系人集合的獲得方式為：

獲取預設采樣范圍內所述收件郵箱接收到的各接收郵件和發送所述各接收郵件的源發件郵箱，以及各源發件郵箱發送給所述收件郵箱的各發送郵件；

分別針對所述各源發件郵箱，根據所述各接收郵件和所述各發送郵件，確定任意一源發件郵箱與所述收件郵箱之間的平均往來郵件數量；

分別針對所述各源發件郵箱，若確定任意一源發件郵箱的平均往來郵件數量大于預設的平均數量閾值，則確定該源發件郵箱為常用郵箱；

生成包含有各常用郵箱的常用聯系人集合。

3.如權利要求2所述的方法，其特征在于，根據所述各接收郵件和所述各發送郵件，確定任意一源發件郵箱與所述收件郵箱之間的平均往來郵件數量，具體包括：

統計該源發件郵箱每日接收到所述收件郵箱發送的郵件的每日收件數量，以及每日發送給所述收件郵箱的郵件的每日發件數量；

根據每日收件數量之和與預設的天數之間的比值，確定每日平均收件數量，并根據每日發件數量之和與預設的天數之間的比值，確定每日平均發件數量；

根據所述每日平均收件數量、所述每日平均發件數量和所述每日平均收件數量的標準差，確定任意一源發件郵箱與所述收件郵箱之間的平均往來郵件數量。

4.如權利要求1所述的方法，其特征在于，通過確定所述發件郵箱與所述常用聯系人集合中包含的各常用郵箱之間的郵箱相似度，確定所述待檢測郵件的郵件類型，具體包括：

分別針對所述常用聯系人集合中包含的各常用郵箱，將任意一常用郵箱的用戶名信息與所述發件郵箱的用戶名信息對齊，將該常用郵箱的域名信息與所述發件郵箱信息的域名信息對齊，并將該常用郵箱的各個字符轉換為特征值，并根據各特征值，確定該常用郵箱的特征向量值；

分別針對所述各常用郵箱，計算所述發件郵箱的特征向量值與任意一常用郵箱的特征向量值之間的余弦相似度，若確定所述余弦相似度大于預設的相似度閾值，則確定所述待檢測郵件的郵件類型為相似郵件。

5.如權利要求1所述的方法，其特征在于，若所述行為信息為發件時間和IP地址，則通過將所述行為信息與預先存儲的標準行為信息進行匹配，確定所述待檢測郵件的郵件類型，具體包括：

若確定所述發件時間未位于為預設的標準發件時間內，和/或所述IP地址不為預設的標準IP地址，則確定所述待檢測郵件的郵件類型為行為異常郵件，其中，所述標準發件時間表征所述發件郵箱發送非異常郵件時的發件時間，所述標準IP地址表征所述發件郵箱發送非異常郵件時的IP地址。

6.如權利要求5所述的方法，其特征在于，所述標準發件時間的獲得方式為：

分別針對所述常用聯系人集合中的各常用郵箱，統計任意一常用郵箱每日在各預設時間段內的發件數量；

分別針對所述各常用郵箱，根據任意一常用郵箱每日在所述各時間段內的發件數量，以及對應的標準差，確定所述各時間段的標準分值，并將超過預設標準分值閾值的時間段計為標準發件時間，其中，所述標準分值表征是否為標準發件時間對應的分值。