[发明专利]一种邮件系统异常IP的检测方法及检测系统

权利要求书

1.一种邮箱账号异常的检测方法，其特征在于，所述方法包括如下步骤：

对邮件日志数据进行清洗，提取有用信息；

统计预设时间窗口内各有用信息对应的登录行为数据；

确定当前时间窗口内每一登录行为数据所占的权重；

根据各登录行为数据及其对应的权重计算账户行为异常值z,并与预设阈值z₀进行比较，当z＞z₀时，判断账户为异常账户；

当判断出z≤z₀时，采用关联分析算法对邮箱账号进行检测。

2.如权利要求1所述的邮箱账号异常的检测方法，其特征在于，所述有用信息包括邮箱账户、登录时间、登录IP、登录IP归属地、账号登录状态及登录方式。

3.如权利要求1所述的邮箱账号异常的检测方法，其特征在于，确定当前时间窗口内每一登录行为数据所占的权重为利用随机森林算法确定当前时间窗口内每一登录行为数据所占的权重。

4.如权利要求1所述的邮箱账号异常的检测方法，其特征在于，根据各登录行为数据及其对应的权重计算账户行为异常值z具体按照公式（一）进行计算：

z=a₁*b₁+a₂*b₂+a₃*b₃+a₄*b₄+a₅*b₅   （一）

其中，b₁为帐号登陆失败的次数异常值；b₂为非正常时段登陆异常值；b₃为不同登陆地值；b₄为登录邮箱的地理位置异常值；b₅为登录方式异常值；a₁-a₅为登录行为数据所占的权重。

5.一种邮箱账号异常的检测系统，其特征在于，所述检测系统包括：

日志数据预处理模块，被配置为对邮件日志数据进行清洗，提取有用信息；

数据统计模块，被配置为统计预设时间窗口内各有用信息对应的登录行为数据；

权重获取模块，被配置为确定当前时间窗口内每一登录行为数据所占的权重；

异常判断模块，被配置为根据各登录行为数据及其对应的权重计算账户行为异常值z,并与预设阈值z₀进行比较，当z＞z₀时，判断账户为异常账户，当判断出z≤z₀时，采用关联分析算法对邮箱账号进行检测。