一种邮件攻击的检测方法及系统技术方案

本发明专利技术实施例公开了邮件攻击的检测方法及系统，应用于信息处理技术领域。在本实施例的方法中，邮件攻击的检测系统会根据待检测用户的客户端接收的外部邮件的待检测特征信息，与正常行为邮件的基准特征范围的偏差信息，确定待检测用户的客户端是否被恶意邮件攻击。这样在确定客户端是否被恶意邮件攻击的过程中采用模糊匹配法，即将待检测特征信息与一个基准特征范围进行匹配，即使恶意邮件被修改了某些特征，只要与基准特征范围的偏差较大，都确定为被恶意邮件攻击的客户端，使得对检测过程的影响不是很大，相比现有技术中精确匹配(比如关键字匹配等)的方法，提高了对恶意邮件检测的机率。

A detection method and system for mail attack

The embodiment of the invention discloses the detection method and system of mail attack, which is applied to the field of information processing technology. In the method of this embodiment, the mail detection system according to the characteristics of attack detection will detect the user's information to be received by the external mail client, deviation information datum feature and the normal range of mail, to determine whether the client user detection by malicious e-mail attacks. In determining whether the client is malicious email attack process using the fuzzy matching method, the detected feature information and a datum feature matching range, even if a malicious message is modified in some features, as long as with the reference range characteristic of large deviations, are identified as malicious attack mail client, makes the influence on the detection process is not great, compared with the prior art in precise matching (such as keyword matching etc.) method, increasing the probability of detecting malicious e-mail.

【技术实现步骤摘要】
一种邮件攻击的检测方法及系统
本专利技术涉及信息处理
，特别涉及一种邮件攻击的检测方法及系统。
技术介绍
随着信息泄漏的逐步加剧，互联网上泄露了各大公司的邮箱系统的数据，导致各大公司的邮件系统被钓鱼邮件恶意入侵的事件频发，尤其是随着成束(locky)敲诈病毒的流行，各个公司的邮件系统收到此类敲诈的钓鱼邮件越来越多。现有技术中，一般通过邮件检测系统拦截恶意的邮件，具体地，邮件检测系统采取基于关键字、信任网络协议(InternetProtocol，IP)、频率等方案拦截恶意的邮件，但因黑客频繁更换邮件主题、附件、发件人、发件ip等，造成无法识别此类批量钓鱼邮件的攻击，从而无法及时通知用户，造成部分未被邮件检测系统拦截的恶意邮件被客户端接收到进而触发病毒。
技术实现思路
本专利技术实施例提供一种邮件攻击的检测方法及系统，实现了根据待检测特征信息与正常行为邮件的基准特征范围的偏差信息，确定待检测用户的客户端是否被恶意邮件攻击。本专利技术实施例提供一种邮件攻击的检测方法，包括：获取邮件系统接收的正常行为邮件的基准特征范围；获取所述邮件系统中待检测用户的客户端接收的外部邮件的待检测特征信息；将所述待检测特征信息与基准特征范围进行比较得到偏差信息；如果所述偏差信息指示所述待检测特征信息与所述基准特征范围的偏差大于预置偏差，确定所述待检测用户的客户端被恶意邮件攻击。本专利技术实施例还提供一种邮件攻击的检测系统，包括：基准获取单元，用于获取邮件系统接收的正常行为邮件的基准特征范围；待检测获取单元，用于获取所述邮件系统中待检测用户的客户端接收的外部邮件的待检测特征信息；比较单元，用于将所述待检测特征信息与基准特征范围进行比较得到偏差信息；第一确定单元，用于如果所述偏差信息指示所述待检测特征信息与所述基准特征范围的偏差大于预置偏差，确定所述待检测用户的客户端被恶意邮件攻击。可见，在本实施例的方法中，邮件攻击的检测系统会根据待检测用户的客户端接收的外部邮件的待检测特征信息，与正常行为邮件的基准特征范围的偏差信息，确定待检测用户的客户端是否被恶意邮件攻击。这样在确定客户端是否被恶意邮件攻击的过程中采用模糊匹配法，即将待检测特征信息与一个基准特征范围进行匹配，即使恶意邮件被修改了某些特征，只要与基准特征范围的偏差较大，都确定为被恶意邮件攻击的客户端，使得对检测过程的影响不是很大，相比现有技术中精确匹配(比如关键字匹配等)的方法，提高了对恶意邮件检测的机率。附图说明为了更清楚地说明本专利技术实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本专利技术的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。图1是本专利技术实施例提供的一种邮件攻击的检测方法的流程图；图2是本专利技术实施例提供的另一种邮件攻击的检测方法的流程图；图3是本专利技术应用实施例的方法应用于的系统架构的示意图；图4是本专利技术应用实施例提供的另一种邮件攻击的检测方法的流程图；图5是本专利技术实施例提供的一种邮件攻击的检测系统的结构示意图；图6是本专利技术实施例提供的另一种邮件攻击的检测系统的结构示意图；图7是本专利技术实施例中提供的一种服务器的结构示意图。具体实施方式下面将结合本专利技术实施例中的附图，对本专利技术实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本专利技术一部分实施例，而不是全部的实施例。基于本专利技术中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本专利技术保护的范围。本专利技术的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本专利技术的实施例例如能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排它的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。本专利技术实施例提供一种邮件攻击的检测方法，主要是由邮件攻击的检测系统所执行的方法，流程图如图1所示，包括：步骤101，获取邮件系统接收的正常行为邮件的基准特征范围，基准特征范围是指至少一个维度特征分别对应的范围，其中至少一个维度特征可以包括如下信息中的一种或多种：邮件数量，来源邮件系统标识，接收时间，主题和网络来源地址比如IP地址等。可以理解，该基准特征范围可以是对邮件系统一段时间内(比如一年或半年)接收的正常行为邮件的信息进行统计得到的预置时间段内(比如一天)的基准特征范围，并事先储存在邮件攻击的检测系统中，且该基准特征范围可以不断地根据邮件系统接收新的正常行为邮件的信息而不断地更新。当邮件攻击的检测系统针对任一邮件系统，周期性地发起本实施例的流程时，可以从邮件攻击的检测系统中直接读取到预先储存的基准特征范围。具体地，在统计该基准特征范围时，邮件攻击的检测系统可以先获取邮件系统的邮件流水日志，然后剔除邮件流水日志中恶意邮件的日志得到剔除后的邮件流水日志，这样剔除后的邮件流水日志中就只包括正常行为邮件的信息，最后统计剔除后的邮件流水日志中多个上述正常行为邮件(即邮件系统接收的邮件)的至少一个维度特征的信息得到该基准特征范围。步骤102，获取邮件系统中待检测用户的客户端接收的外部邮件的待检测特征信息，在待检测特征信息中包括上述至少一个维度特征分别对应的参数值。需要说明的是，本步骤102中获取的待检测特征信息是针对客户端在预置时间段内接收的外部邮件的信息得到，与上述步骤101中获取的基准特征范围对应的时间段相同，比如都为一天内。步骤103，将待检测特征信息与基准特征范围进行比较得到偏差信息，具体地，这里的偏差信息可以包括待检测特征信息中至少一个维度特征的参数值分别与基准特征范围中相应维度特征的范围的偏差。可以理解，待检测特征信息与基准特征范围的偏差越大，说明客户端被恶意邮件攻击的可能越大。步骤104，根据步骤103得到的偏差信息判断待检测特征信息与基准特征范围的偏差是否大于预置偏差，如果大于，则执行步骤105，如果不大于，则执行步骤106。具体地，邮件攻击的检测系统在根据偏差信息进行本步骤的判断时，可以先根据偏差信息确定待检测特征信息的整体分值，如果得到的整体分值超出预置的分值范围，则说明待检测特征信息与基准特征范围的偏差大于预置偏差。其中，可以设定待检测特征信息与基准特征范围的偏差越大，则确定的整体分值越大或越小。如果维度特征有多个，则在确定整体分值时，在一种情况下，可以先根据待检测特征信息中多个维度特征的参数值分别与基准特征范围中相应维度特征的范围的偏差，分别确定多个维度特征中每个维度特征对应的分值，然后将多个维度特征分别对应的分值相加后即可得到整体分值。其中，如果某个维度特征的参数值在基准特征范围中相应维度特征的范围内，则说明没有偏差，可以确定该某个维度特征对应的分值为零。在另一种情况下，在确定待检测特征信息的整体分值时，可以分别设定多个维度本文档来自技高网...

【技术保护点】
一种邮件攻击的检测方法，其特征在于，包括：获取邮件系统接收的正常行为邮件的基准特征范围；获取所述邮件系统中待检测用户的客户端接收的外部邮件的待检测特征信息；将所述待检测特征信息与基准特征范围进行比较得到偏差信息；如果所述偏差信息指示所述待检测特征信息与所述基准特征范围的偏差大于预置偏差，确定所述待检测用户的客户端被恶意邮件攻击。

【技术特征摘要】
1.一种邮件攻击的检测方法，其特征在于，包括：获取邮件系统接收的正常行为邮件的基准特征范围；获取所述邮件系统中待检测用户的客户端接收的外部邮件的待检测特征信息；将所述待检测特征信息与基准特征范围进行比较得到偏差信息；如果所述偏差信息指示所述待检测特征信息与所述基准特征范围的偏差大于预置偏差，确定所述待检测用户的客户端被恶意邮件攻击。2.如权利要求1所述的方法，其特征在于，所述基准特征范围包括至少一个维度特征的范围；所述待检测特征信息包括所述至少一个维度特征的参数值；所述偏差信息包括所述待检测特征信息中至少一个维度特征的参数值分别与所述基准特征范围中相应维度特征的范围的偏差。3.如权利要求2所述的方法，其特征在于，所述获取邮件系统接收的正常行为邮件的基准特征范围，具体包括：获取所述邮件系统的邮件流水日志；剔除所述邮件流水日志中恶意邮件的日志得到剔除后的邮件流水日志；统计所述剔除后的邮件流水日志中多个所述正常行为邮件的至少一个维度特征的信息得到所述基准特征范围。4.如权利要求3所述的方法，其特征在于，所述至少一个维度特征包括邮件数量，则所述统计所述剔除后的邮件流水日志中多个所述正常行为邮件的至少一个维度特征的信息得到所述基准特征范围，具体包括：根据所述剔除后的邮件流水日志，统计在一段时间内每个用户的客户端在每个工作日接收的外部邮件的数量，将所述一段时间内每个工作日每个用户的客户端接收的外部邮件的数量的平均值作为所述维度特征的最大值；或者，根据所述剔除后的邮件流水日志，在一段时间内每个用户的客户端在每个工作日接收的外部邮件的数量中选取一个最大值，将所述选取的最大值作为所述维度特征的最大值。5.如权利要求3所述的方法，其特征在于，所述至少一个维度特征包括来源邮件系统标识，接收时间，主题和网络来源地址中任一维度特征，则所述统计所述剔除后的邮件流水日志中多个所述正常行为邮件的至少一个维度特征的信息得到所述基准特征范围，具体包括：根据所述剔除后的邮件流水日志，统计一段时间内每个用户的客户端在每个工作日接收的外部邮件中，某一维度特征下各个参数值对应的外部邮件的占比，如果具有某一参数值的外部邮件的占比大于预置值，则将所述参数值作为对应维度特征的范围。6.如权利要求2所述的方法，其特征在于，所述将所述待检测特征信息与基准特征范围进行比较得到偏差信息之后，所述方法还包括：根据所述偏差信息确定所述待检测特征信息的整体分值；如果所述整体分值超出预置的分值范围，确定所述偏差信息指示所述待检测特征信息与所述基准特征范围的偏差大于预置偏差。7.如权利要求6所述的方法，其特征在于，如果所述维度特征为多个，则根据所述偏差信息确定所述待检测特征信息的整体分值，具体包括：根据所述待检测特征信息中多个维度特征的参数值分别与所述基准特征范围中相应维度特征的范围的偏差，分别确定所述多个维度特征中每个维度特征对应的分值，将所述多个维度特征分别对应的分值相加得到所述整体分值；或，分别设定所述多个维度特征的权重值，将参数值与基准特征范围中的范围相比具有偏差的维度特征的权重值的相加值作为所述整体分值。8.如权利要求1至7任一项所述的方法，其特征在于，所述方法还包括：针对所述邮件系统的所有用户中每个用户的客户端，执行所述获取待检测特征信息，比较和确定的步骤，得到所述所有用户中每个用户的客户端是否被恶意邮件攻击的信息；如果被恶意邮件攻击的第一用户的客户端占所述所有用户的客户端的比例大于预置的比例，确定所述邮件系统被恶意邮件攻击。9.如权利要求8所述的方法，其特征在于，所述方法还包括：发送用户提醒信息，所述用户提醒信息用于...

【专利技术属性】
技术研发人员：马立伟，蔡晨，王森，李志豪，王月强，
申请(专利权)人：腾讯科技深圳有限公司，
类型：发明
国别省市：广东,44