[發(fā)明專利]一種異常郵件檢測(cè)方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 202011614644.1
• 申請(qǐng)日: 2020-12-30
• 公開(kāi)（公告）號(hào): CN112822168B
• 公開(kāi)（公告）日: 2022-09-23
• 發(fā)明（設(shè)計(jì)）人: 郝傳洲;黃俊;潘登
• 申請(qǐng)（專利權(quán)）人: 綠盟科技集團(tuán)股份有限公司;北京神州綠盟科技有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;H04L51/42
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司 11291
• 代理人: 趙小霞

本申請(qǐng)涉及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，尤其涉及一種異常郵件檢測(cè)方法及裝置，獲取待檢測(cè)郵件的行為信息、發(fā)送待檢測(cè)郵件的發(fā)件郵箱和接收到待檢測(cè)郵件的收件郵箱，確定收件郵箱的常用聯(lián)系人集合，并判斷發(fā)件郵箱是否包含在常用聯(lián)系人集合中，若確定發(fā)件郵箱包含在常用聯(lián)系人集合中，則通過(guò)將行為信息與預(yù)先存儲(chǔ)的標(biāo)準(zhǔn)行為信息進(jìn)行匹配，確定待檢測(cè)郵件的郵件類型，否則，通過(guò)確定發(fā)件郵箱與常用聯(lián)系人集合中包含的各常用郵箱之間的郵箱相似度，確定待檢測(cè)郵件的郵件類型，根據(jù)郵件類型，確定待檢測(cè)郵件是否為異常郵件，這樣，能夠在保證不泄漏用戶隱私信息的前提下，實(shí)現(xiàn)對(duì)異常郵件的檢測(cè)。

技術(shù)領(lǐng)域

本申請(qǐng)涉及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，尤其涉及一種異常郵件檢測(cè)方法及裝置。

背景技術(shù)

隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，出現(xiàn)了越來(lái)越多的網(wǎng)絡(luò)攻擊者，網(wǎng)絡(luò)攻擊者可能會(huì)向用戶發(fā)送異常郵件，并在異常郵件中攜帶惡意鏈接，誘使用戶點(diǎn)擊或者登陸賬號(hào)密碼等。一旦用戶點(diǎn)擊鏈接或輸入賬號(hào)密碼，相關(guān)信息就會(huì)被竊取，黑客甚至?xí)铏C(jī)安裝木馬等惡意程序，持續(xù)破壞目標(biāo)計(jì)算機(jī)。因此，如何能夠?qū)崿F(xiàn)對(duì)異常郵件的檢測(cè)，成為了一個(gè)亟待解決的問(wèn)題。

現(xiàn)有技術(shù)中，在對(duì)異常郵件進(jìn)行檢測(cè)時(shí)，可以基于機(jī)器學(xué)習(xí)算法構(gòu)建分類器模型，對(duì)待檢測(cè)郵件的正文文本內(nèi)容或攜帶的統(tǒng)一資源定位系統(tǒng)(uniform resource locator，URL)鏈接進(jìn)行識(shí)別，從而判斷待檢測(cè)郵件是否為異常郵件。但是，現(xiàn)有技術(shù)中的這種方法需要對(duì)待檢測(cè)郵件的內(nèi)容進(jìn)行檢測(cè)，存在泄露用戶隱私的問(wèn)題。

發(fā)明內(nèi)容

本申請(qǐng)實(shí)施例提供一種異常郵件檢測(cè)方法及裝置，在保證不泄露用戶隱私的前提下，實(shí)現(xiàn)對(duì)異常郵件的檢測(cè)。

本申請(qǐng)實(shí)施例提供的具體技術(shù)方案如下：

獲取待檢測(cè)郵件的行為信息、發(fā)送所述待檢測(cè)郵件的發(fā)件郵箱和接收到所述待檢測(cè)郵件的收件郵箱，其中，所述行為信息表征發(fā)送所述待檢測(cè)郵件時(shí)所述發(fā)件郵箱的發(fā)送行為的信息；

確定所述收件郵箱的常用聯(lián)系人集合，并判斷所述發(fā)件郵箱是否包含在所述常用聯(lián)系人集合中，其中，所述常用聯(lián)系人集合表征在預(yù)設(shè)時(shí)間范圍內(nèi)與所述收件郵箱之間的往來(lái)郵件的數(shù)量超過(guò)預(yù)設(shè)數(shù)量閾值的常用郵箱的集合；

若確定所述發(fā)件郵箱包含在所述常用聯(lián)系人集合中，則通過(guò)將所述行為信息與預(yù)先存儲(chǔ)的標(biāo)準(zhǔn)行為信息進(jìn)行匹配，確定所述待檢測(cè)郵件的郵件類型，否則，通過(guò)確定所述發(fā)件郵箱與所述常用聯(lián)系人集合中包含的各常用郵箱之間的郵箱相似度，確定所述待檢測(cè)郵件的郵件類型，其中，所述標(biāo)準(zhǔn)行為信息表征發(fā)送非異常郵件時(shí)所述發(fā)件郵箱的發(fā)送行為的信息；

根據(jù)所述郵件類型，確定所述待檢測(cè)郵件是否為異常郵件。

可選的，所述常用聯(lián)系人集合的獲得方式為：

獲取預(yù)設(shè)采樣范圍內(nèi)所述收件郵箱接收到的各接收郵件和發(fā)送所述各接收郵件的源發(fā)件郵箱，以及各源發(fā)件郵箱發(fā)送給所述收件郵箱的各發(fā)送郵件；

分別針對(duì)所述各源發(fā)件郵箱，根據(jù)所述各接收郵件和所述各發(fā)送郵件，確定任意一源發(fā)件郵箱與所述收件郵箱之間的平均往來(lái)郵件數(shù)量；

分別針對(duì)所述各源發(fā)件郵箱，若確定任意一源發(fā)件郵箱的平均往來(lái)郵件數(shù)量大于預(yù)設(shè)的平均數(shù)量閾值，則確定該源發(fā)件郵箱為常用郵箱；

生成包含有各常用郵箱的常用聯(lián)系人集合。

可選的，根據(jù)所述各接收郵件和所述各發(fā)送郵件，確定任意一源發(fā)件郵箱與所述收件郵箱之間的平均往來(lái)郵件數(shù)量，具體包括：

統(tǒng)計(jì)該源發(fā)件郵箱每日接收到所述收件郵箱發(fā)送的郵件的每日收件數(shù)量，以及每日發(fā)送給所述收件郵箱的郵件的每日發(fā)件數(shù)量；

根據(jù)每日收件數(shù)量之和與預(yù)設(shè)的天數(shù)之間的比值，確定每日平均收件數(shù)量，并根據(jù)每日發(fā)件數(shù)量之和與預(yù)設(shè)的天數(shù)之間的比值，確定每日平均發(fā)件數(shù)量；