[發明專利]一種基于特征提取的釣魚郵件檢測方法及系統

在審

• 申請號: 202210046781.2
• 申請日: 2022-01-14
• 公開（公告）號: CN114465780A
• 公開（公告）日: 2022-05-10
• 發明（設計）人: 林延中;左自清
• 申請（專利權）人: 廣東盈世計算機科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L51/42;H04L67/02;G06F16/951
• 代理公司: 廣州三環專利商標代理有限公司 44202
• 代理人: 陳旭紅

本發明公開了一種基于特征提取的釣魚郵件檢測方法及系統，包括：當檢測到電子郵件中含有URL鏈接時，將URL鏈接傳輸至爬蟲系統，并接收爬蟲系統反饋的落地URL、網頁截圖和頁面源代碼；根據預設的特征提取算法，分別對落地URL、網頁截圖和頁面源代碼進行特征提取，獲得URL特征、頁面圖像特征和源代碼特征；提取電子郵件的郵件內容特征，并結合URL特征、頁面圖像特征和源代碼特征，生成電子郵件對應的一個特征向量；將特征向量輸入至預設的檢測模型中，輸出電子郵件的釣魚郵件檢測結果。本發明通過對URL鏈接和電子郵件內容進行多方面的特征提取，得到多類型的特征，并結合多類型特征輸出釣魚郵件檢測結果，提高檢測的準確性。

技術領域

本發明涉及網絡安全領域，尤其涉及一種基于特征提取的釣魚郵件檢測方法及系統。

背景技術

電子郵件是現代社會最常用的通訊方式之一，也是全球范圍受到認可的電子取證材料。電子郵件服務具有必要性、廣泛性等特性，往往被黑產組織視作常規攻擊目標。特別是近年來，電子郵件往往被作為APT等新型攻擊手段的第一站，以電子郵件為載體的詐騙行為同樣層出不窮。在手法較為高明的釣魚郵件中，有很大一部分的郵件都包含了釣魚網站的URL鏈接，或者是被掛載了木馬、后門的正常網站的URL鏈接。

然而，對于如何識別一個網站是否是釣魚網站，學術界已經有較多的研究，主要分為三種類型：基于URL鏈接字符特征的檢測、基于HTML頁面的圖像識別以及針對網頁源代碼進行的惡意網站檢測。首先，基于URL鏈接字符特征的檢測這一類型的方法，雖然不需要實際訪問URL，并且較好地保護部署檢測程序的機器，但是涉及到網絡通信的特征，如AlexaRank、DNS查詢返回response個數、域名whois查詢結果等，一旦處于離線環境，則無法完成特征提取工作；并且在特征工程階段使用特征較少，沒有利用更多層面信息。其次，現有的基于HTML頁面的圖像識別方法，為了得到較為出色的模型，通常需要較深的網絡結構，會增加特征處理環節的用時，并且對于仿造門戶網站、偽裝成正牌網站的釣魚網站，會因為其在視覺上同門戶網站差別很小或者甚至沒有差別而難以正確區分出此類釣魚網站。最后，現有的針對網頁源代碼進行的惡意網站檢測方法，對頁面結構特征、JS代碼特征和Web會話特征進行的分別處理，但是單個環節使用特征較少，且跟蹤Web會話活動需要付出較大的成本，不容易實際部署。

發明內容

本發明提供了一種基于特征提取的釣魚郵件檢測方法及系統，降低誤判和漏判風險，提高檢測準確性。

為了解決上述技術問題，本發明實施例提供了一種基于特征提取的釣魚郵件檢測方法，包括：

當檢測到電子郵件中含有URL鏈接時，將所述URL鏈接傳輸至爬蟲系統，并接收所述爬蟲系統反饋的落地URL、網頁截圖和頁面源代碼；

根據預設的特征提取算法，分別對所述落地URL、所述網頁截圖和所述頁面源代碼進行特征提取，獲得URL特征、頁面圖像特征和源代碼特征；

提取所述電子郵件的郵件內容特征，并結合所述URL特征、所述頁面圖像特征和所述源代碼特征，生成所述電子郵件對應的一個特征向量；

將所述特征向量輸入至預設的檢測模型中，輸出所述電子郵件的釣魚郵件檢測結果。

進一步地，所述根據預設的特征提取算法，分別對所述落地URL、所述網頁截圖和所述頁面源代碼進行特征提取，獲得URL特征、頁面圖像特征和源代碼特征，具體為：

采用特征工程，對所述落地URL進行特征提取，輸出所述URL特征；其中，所述URL特征包括域名特征、所述落地URL的直觀特征、3-gram特征和詞向量特征；