[发明专利]邮件检测方法、装置、设备、系统及计算机可读存储介质

权利要求书

1.一种邮件检测方法，其特征在于，包括：

根据每个邮件的检测对象识别每个邮件的邮件类型；所述邮件类型包括安全邮件类型、危险邮件类型和潜在危险邮件类型；所述检测对象包括：邮件账号信息、URL信息、邮件附件信息、邮件正文信息以及邮件收发行为；

根据每个邮件的邮件类型，获取目标邮件的行为数据；

利用预先设定的行为分析模型对所述行为数据进行分析检测，识别所述目标邮件中的异常邮件；其中，所述分析模型用于检测异常行为，所述异常行为包括：账号爆破行为、群发邮件行为、登录时间异常行为、登陆地点异常行为；

确定与所述潜在危险邮件类型对应的待查杀邮件；所述潜在危险邮件类型包括可疑邮件类型和未知邮件类型；

将与所述待查杀邮件对应的检测对象信息发送至云查杀系统，以通过所述云查杀系统识别所述待查杀邮件中的异常邮件。

2.根据权利要求1所述的邮件检测方法，其特征在于，所述利用预先设定的行为分析模型对所述行为数据进行分析检测，识别所述目标邮件中的异常邮件，包括：

根据所述目标邮件的登陆记录识别账号爆破行为，将所述目标邮件中与所述账号爆破行为对应的邮件确定为异常邮件；和/或，

根据所述目标邮件的邮件发送记录识别群发邮件行为，将所述目标邮件中与所述群发邮件行为对应的邮件确定为异常邮件。

3.根据权利要求1所述的邮件检测方法，其特征在于，所述将与所述待查杀邮件对应的检测对象信息发送至云查杀系统，以通过所述云查杀系统识别所述待查杀邮件中的异常邮件，包括：

将与所述待查杀邮件对应的账号信息、URL信息、附件信息及正文信息中的至少一者发送至所述云查杀系统，以通过所述云查杀系统识别所述待查杀邮件中的异常邮件。

4.根据权利要求3所述的邮件检测方法，其特征在于，所述云查杀系统识别所述待查杀邮件中的异常邮件，包括：

识别所述账号信息中的源地址和/或目的地址是否为伪造地址，得到账号信息识别结果；和/或，识别所述URL信息中是否存在恶意类型的URL内容，得到URL识别结果；和/或，识别所述附件信息中是否存在恶意类型的附件，得到附件识别结果；和/或，识别所述正文信息中是否存在恶意的正文内容，得到正文识别结果；

根据所述账号信息识别结果、所述URL识别结果、所述附件识别结果、所述正文识别结果中的至少一者，识别异常邮件。

5.一种邮件检测装置，其特征在于，包括：

邮件类型识别模块，用于根据每个邮件的检测对象识别每个邮件的邮件类型；所述邮件类型包括安全邮件类型、危险邮件类型和潜在危险邮件类型；所述检测对象包括：邮件账号信息、URL信息、邮件附件信息、邮件正文信息以及邮件收发行为；

行为数据获取模块，用于根据每个邮件的邮件类型，获取目标邮件的行为数据；

异常邮件识别模块，用于利用预先设定的行为分析模型对所述行为数据进行分析检测，识别所述目标邮件中的异常邮件；其中，所述分析模型用于检测异常行为，所述异常行为包括：账号爆破行为、群发邮件行为、登录时间异常行为、登陆地点异常行为；

待查杀邮件确定模块，用于确定与所述潜在危险邮件类型对应的待查杀邮件；所述潜在危险邮件类型包括可疑邮件类型和未知邮件类型；

检测对象发送模块，将与所述待查杀邮件对应的检测对象信息发送至云查杀系统，以通过所述云查杀系统识别所述待查杀邮件中的异常邮件。

6.根据权利要求5所述的邮件检测装置，其特征在于，所述异常邮件识别模块包括第一识别单元和/或第二识别单元；

所述第一识别单元，用于根据所述目标邮件的登陆记录识别账号爆破行为，将所述目标邮件中与所述账号爆破行为对应的邮件确定为异常邮件；

所述第二识别单元，用于根据所述目标邮件的邮件发送记录识别群发邮件行为，将所述目标邮件中与所述群发邮件行为对应的邮件确定为异常邮件。