钓鱼邮件检测方法、装置、电子设备及可读存储介质制造方法及图纸

本申请提供一种钓鱼邮件检测方法、装置、电子设备及可读存储介质，方法包括：根据待测邮件的邮件内容对所述待测邮件进行检测，得到第一检测结果；所述待测邮件的邮件内容包括邮件头、邮件正文和邮件脚本；根据所述第一检测结果确定所述待测邮件是否为钓鱼邮件。本申请通过结合待测邮件的邮件头、邮件正文和邮件脚本进行检测，从而基于钓鱼邮件与正常邮件之间在邮件头、邮件正文和邮件脚本之间的差异，实现了对于钓鱼邮件的准确检测。现了对于钓鱼邮件的准确检测。现了对于钓鱼邮件的准确检测。

【技术实现步骤摘要】
钓鱼邮件检测方法、装置、电子设备及可读存储介质


[0001]本申请涉及钓鱼邮件检测
，具体而言，涉及一种钓鱼邮件检测方法、装置、电子设备及计算机可读存储介质。

技术介绍

[0002]钓鱼邮件攻击是指攻击者伪装成同事、合作伙伴、朋友、家人等用户信任的人，通过发送电子邮件的方式，诱使用户回复邮件、点击嵌入邮件正文的恶意链接、或者运行邮件中的恶意附件，进而窃取用户敏感数据(例如个人银行账户和密码、OA(Office Automation，办公自动化)帐号和密码、办公邮箱和密码等信息)，或者在设备上执行恶意代码的网络攻击活动。
[0003]目前钓鱼邮件检测的方法主要是基于黑名单的方法，使用的主要工具是黑名单，包括发件人黑名单和URL(Uniform Resource Locator，统一资源定位器)黑名单。检测的方法是提取邮件中的发件人地址和邮件正文中的URL，查看是否在相应的黑名单中。这种方法的检出效果完全依赖于黑名单，但是黑名单的收集具有较大的局限性和滞后性，无法有效检测出钓鱼邮件。

技术实现思路

[0004]本申请实施例的目的在于提供一种钓鱼邮件检测方法、装置、电子设备及计算机可读存储介质，用以实现对于钓鱼邮件的准确检测。
[0005]本申请实施例提供了一种钓鱼邮件检测方法，包括：根据待测邮件的邮件内容对所述待测邮件进行检测，得到第一检测结果；所述待测邮件的邮件内容包括邮件头、邮件正文和邮件脚本；根据所述第一检测结果确定所述待测邮件是否为钓鱼邮件。
[0006]在上述实现过程中，通过结合待测邮件的邮件头、邮件正文和邮件脚本进行检测，从而基于钓鱼邮件与正常邮件之间在邮件头、邮件正文和邮件脚本之间的差异，实现了对于钓鱼邮件的准确检测。
[0007]进一步地，所述根据待测邮件的邮件内容对所述待测邮件进行检测，得到第一检测结果，包括：采用多个不同的分类模型分别对所述待测邮件的邮件内容进行检测，得到各所述分类模型的检测结果；根据各所述分类模型的检测结果确定所述第一检测结果。
[0008]在上述实现过程中，通过采用多个不同的分类模型分别对待测邮件的邮件内容进行检测，进而综合各个分类模型的检测结果得到第一检测结果，这就可以综合不同分类模型的优势，使得对于钓鱼邮件的检测可以更为准确，避免因某一类模型的性能而影响钓鱼邮件的识别准确性。
[0009]进一步地，在所述待测邮件的邮件正文中携带有URL时，所述方法还包括：对所述URL进行检测，得到第二检测结果；根据所述第一检测结果确定所述待测邮件是否为钓鱼邮件，包括：根据所述第一检测结果和所述第二检测结果确定所述待测邮件是否为钓鱼邮件。
[0010]URL是钓鱼邮件中的重要特征之一，许多钓鱼邮件都是通过在邮件中携带钓鱼
URL，从而仿冒真实网站的URL地址以及页面内容，以此来骗取用户银行卡号或信用卡账号、密码等私人资料。在上述实现过程中，通过专门对URL进行检测得到第二检测结果，并综合第一检测结果和第二检测结果来确定待测邮件是否为钓鱼邮件，从而可以使得检测结果更为可靠。
[0011]进一步地，对所述URL进行检测，得到第二检测结果，包括：在处于联网状态时，采用第一策略对所述URL进行联网检测，得到所述第二检测结果；在处于未联网状态时，采用第二策略对所述URL进行本地检测，得到所述第二检测结果。
[0012]在上述实现过程中，通过在联网状态时对URL进行联网检测，从而可以利用网络优势，进行更为全面可靠的URL检测，从而提高检测结果的可靠性。而在未联网状态时，对URL进行本地检测，也可以保证无论何种网络状态，都可进行URL检测，使得检测结果更为可靠。
[0013]进一步地，采用第一策略对所述URL进行联网检测，包括：采用云端URL检测模型对所述URL进行检测，且打开所述URL所对应目标页面，检测所述目标页面中是否包含敏感登录元素，并检测所述目标页面中是否包含登录框；其中，所述云端URL检测模型为保存在云端的URL检测模型。上述云端URL检测模型接收到URL后，会模拟浏览器打开URL对应的目标页面，并基于打开后的目标页面来检测是否包含敏感登录元素，其中，云端可基于新收集到的URL来定期训练和更新云端URL检测模型，从而提升检测效果。
[0014]在上述实现过程中，通过云端URL检测模型对URL进行检测，实现了从机器学习角度的正常URL与钓鱼URL之间的区分，而通过进一步结合目标页面中是否包含敏感登录元素，以及是否包含登录框，从而综合了多个维度，降低了仅基于URL检测模型进行检测所存在的漏检以及泛化性不足的问题，提高了检测准确性。
[0015]进一步地，检测所述目标页面中是否包含登录框，包括：采用图片登录框检测模型检测所述目标页面中是否包含登录框；其中，所述图片登录框检测模型通过以下方式训练得到：使用K
‑
means算法对训练集中标注的登录框按照尺寸大小进行分类，并根据每类中的登录框的尺寸大小确定出各类对应的先验框的尺寸大小；使用EfficientNet网络对所述训练集进行特征提取并输出检测出的候选框；其中，所述特征提取过程中存在多次下采样，每次下采样过程中使用与该次下采样相对应的尺寸大小的先验框进行特征框选，以输出所述候选框；根据各所述候选框的位置和所述训练集中的标注的登录框的位置将所述训练集的样本分为正样本和负样本；将所述正样本和所述负样本输入至图片登录框检测模型进行迭代训练；其中，所述图片登录框检测模型的主干网络为EfficientNet网络。
[0016]在上述实现过程中，通过K
‑
means算法可以快速实现对于已标记的登录框的归类，从而快速总结出各类登录框的尺寸特点，得到可信度高的先验框。而EfficientNet网络通过对网络的宽度、深度和分辨率统一进行缩放，能够达到更高的精度上限，大幅度地缩小网络参数的同时提高预测准确度，从而使得对于目标页面中是否包含登录框的检测结果更为准确与可靠。
[0017]进一步地，在采用URL检测模型对所述URL进行检测，且打开所述URL所对应目标页面之前，所述方法还包括：确定所述URL是否存在于预设的钓鱼URL库中。
[0018]在上述实现过程中，通过先基于预设的钓鱼URL库对待测邮件中的URL进行过滤，从而可以过滤掉明确具有钓鱼URL的待测邮件。
[0019]进一步地，采用第二策略对所述URL进行本地检测，包括：采用本地URL检测模型对
所述URL进行检测；其中，所述本地URL检测模型为本地保存的URL检测模型。
[0020]在上述实现过程中，通过在本地设置URL检测模型，可以保证即使在未联网的状态下，也可以进行对URL进行检测，从而保证最终对于待测邮件的检测结果。
[0021]进一步地，所述待测邮件的中携带有附件；所述方法还包括：根据所述附件的类型，对所述附件进行处理。
[0022]在上述实现过程中，通过对待测邮件的中携带的附件进行处理，从而可以实现对于附件内的内容本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种钓鱼邮件检测方法，其特征在于，包括：根据待测邮件的邮件内容对所述待测邮件进行检测，得到第一检测结果；所述待测邮件的邮件内容包括邮件头、邮件正文和邮件脚本；根据所述第一检测结果确定所述待测邮件是否为钓鱼邮件。2.如权利要求1所述的钓鱼邮件检测方法，其特征在于，所述根据待测邮件的邮件内容对所述待测邮件进行检测，得到第一检测结果，包括：采用多个不同的分类模型分别对所述待测邮件的邮件内容进行检测，得到各所述分类模型的检测结果；根据各所述分类模型的检测结果确定所述第一检测结果。3.如权利要求1所述的钓鱼邮件检测方法，其特征在于，在所述待测邮件的邮件正文中携带有URL时，所述方法还包括：对所述URL进行检测，得到第二检测结果；根据所述第一检测结果确定所述待测邮件是否为钓鱼邮件，包括：根据所述第一检测结果和所述第二检测结果确定所述待测邮件是否为钓鱼邮件。4.如权利要求3所述的钓鱼邮件检测方法，其特征在于，对所述URL进行检测，得到第二检测结果，包括：在处于联网状态时，采用第一策略对所述URL进行联网检测，得到所述第二检测结果；在处于未联网状态时，采用第二策略对所述URL进行本地检测，得到所述第二检测结果。5.如权利要求4所述的钓鱼邮件检测方法，其特征在于，采用第一策略对所述URL进行联网检测，包括：采用云端URL检测模型对所述URL进行检测，且打开所述URL所对应目标页面，检测所述目标页面中是否包含敏感登录元素，并检测所述目标页面中是否包含登录框；其中，所述云端URL检测模型为保存在云端的URL检测模型。6.如权利要求5所述的钓鱼邮件检测方法，其特征在于，检测所述目标页面中是否包含登录框，包括：采用图片登录框检测模型检测所述目标页面中是否包含登录框；其中，所述图片登录框检测模型通过以下方式训练得到：使用K
‑
means算法对训练集中标注的登录框按照尺寸大小进行分类，并根据每类中的登录框的尺寸大小确定出各类对应的先验框的尺寸大小；使用EfficientNet网络对所述训练集进行特征提取并输出检测出的候选框；其中，所述特征提取过程中存在多次下采样，每次下采样过程中使用与该次下采样相对应的尺寸大小的先验框进行特征框选，以输出所述候选框；根据各所述候选框的位置和所述训练集中的标注的登录框的位置将所述训练集的样本分为正样本和负样本；将所述正样本和所述负样本输入至图片登录框检测模型进行迭代训练；其中，所述图片登录框检测模型的主干网络为EfficientNet网络。7.如权利要求5所述的钓鱼邮件检测方法，其特征在于，在采用URL检测模型对所述URL进行检测，且打开所述URL所对应目标页面之前，所述方法还包括：
确定所述URL是否存在于预设的钓鱼URL库中。8.如权利要求4所述的钓鱼邮件检测方法，其特征在于，采用第二策略对所述URL进行本地检测，包括：采用本地URL检测模型...

【专利技术属性】
技术研发人员：黄传明，李刚，张卓，
申请(专利权)人：奇安信科技集团股份有限公司，
类型：发明
国别省市：