[发明专利]一种鱼叉邮件检测方法、装置、电子设备和存储介质

说明书

本发明实施例公开了一种鱼叉邮件检测方法、装置、电子设备和计算机存储介质，所述方法包括：获取待处理邮件，解析出所述待处理邮件对应的文档数据；提取所述文档数据中的特定特征，将所述特定特征输入至检测模型进行检测，得到检测结果，其中，所述特定特征包括文档类特征和/或图片类特征；根据所述检测结果确定所述待处理邮件是否为鱼叉邮件；如此，本发明实施例能够准确地识别具有恶意行为的鱼叉邮件，有效提升鱼叉邮件的检出率。

技术领域

本发明涉及信息安全检测技术领域，尤其涉及一种鱼叉邮件检测方法、装置、电子设备和计算机存储介质。

背景技术

鱼叉钓鱼附件是一种特别的钓鱼邮件的变种，与传统的钓鱼邮件不同之处在于这种方式使用了恶意的附件到一封特定的邮件中。所有类型的钓鱼邮件都是针对特定行业或者公司个人的社会工程目标。在这种场景下攻击者通常会把文档附加到钓鱼邮件中，同时这种方式往往依赖用户点击来执行。

相关技术中，主要采取动态执行和静态扫描这两种方式防范此类攻击方式，然而，这两种方式对鱼叉邮件的查杀能力较低，且容易发生漏报、误报的情况，无法准确地识别具有恶意行为的鱼叉邮件，进而，降低鱼叉邮件的检出率。

发明内容

本发明实施例公开了一种鱼叉邮件检测方法、装置、电子设备和计算机存储介质，该方法通过对邮件中解析出来的文档数据进行多维度的特征检测，能够准确地识别具有恶意行为的鱼叉邮件，有效提升鱼叉邮件的检出率。

为达到上述目的，本发明实施例的技术方案是这样实现的：

第一方面，本发明实施例提供了一种鱼叉邮件检测方法，所述方法包括：

获取待处理邮件，解析出所述待处理邮件对应的文档数据；

提取所述文档数据中的特定特征，将所述特定特征输入至检测模型进行检测，得到检测结果，其中，所述特定特征包括文档类特征和/或图片类特征；

根据所述检测结果确定所述待处理邮件是否为鱼叉邮件。

可选的，所述解析出所述待处理邮件对应的文档数据，包括：

采用电子邮件协议对所述待处理邮件进行解析，得到所述待处理邮件的附件文档；

从所述附件文档中筛选出待处理邮件对应的文档数据。

可选的，所述从所述附件文档中筛选出待处理邮件对应的文档数据，包括：

在所述附件文档的类型为压缩包的情况下，将所述压缩包进行解压处理；

从解压处理后的附件文档中筛选出待处理邮件对应的文档数据。

可选的，所述方法还包括：

对正常样本数据的特定特征进行提取，得到第一数据；

对恶意样本数据的特定特征进行提取，得到第二数据；

其中，所述正常样本数据表示正常邮件中的文档数据，所述恶意样本数据表示鱼叉邮件中的文档数据；

根据所述第一数据以及所述第二数据，建立所述检测模型。

可选的，所述文档类特征包括以下至少之一：文档大小、文档页数、文档内容的行数或列数、文档内容是否包含引诱点击文字、文档内容的语言信息、文档内容中的程序代码信息；所述图片类特征包括以下至少之一：文档内容中的图片数量、图片中是否包含文字、图片中文字的数量、图片中的文档是否包含引诱点击文字。

可选的，所述方法还包括：

在所述检测结果表示所述文档数据与所述恶意样本数据同类的情况下，根据所述待处理邮件的源网际互连协议(Internet Protocol，IP)信息，确定所述待处理邮件是否为鱼叉邮件；