[发明专利]一种BEC邮件检测方法、装置、系统及可读存储介质

权利要求书

1.一种BEC邮件检测方法，其特征在于，包括：

针对每个邮箱账户，获取所述邮箱账户的各类当前行为特征；

对所述邮箱账户的各类所述当前行为特征及对应的各类历史行为特征进行分析，得到所述邮箱账户的综合异常状况；

根据每个所述邮箱账户的综合异常状况，确定出异常邮箱账户；

对所述异常邮箱账户进行BEC邮件检测。

2.根据权利要求1所述的BEC邮件检测方法，其特征在于，所述对所述邮箱账户的各类所述当前行为特征及对应的各类历史行为特征进行分析，得到所述邮箱账户的综合异常状况的过程为：

预先根据所述邮箱账户的各类历史行为特征建立的、与各类行为特征各自对应的正常历史行为基线；

将所述邮箱账户的各类所述当前行为特征的特征值与对应的正常历史行为基线进行对比，得到与每类所述当前行为特征各自对应的第一异常得分；

依据每类所述当前行为特征各自对应的第一异常得分，计算出所述邮箱账户的综合异常得分；

所述根据每个所述邮箱账户的综合异常状况，确定出异常邮箱账户为：

对每个所述邮箱账户各自的综合异常得分进行分析，确定出异常邮箱账户。

3.根据权利要求2所述的BEC邮件检测方法，其特征在于，所述预先根据所述邮箱账户的各类历史行为特征建立的、与各类行为特征各自对应的正常历史行为基线的过程为：

针对每个邮箱账户，预先采集所述邮箱账户的历史审计日志和历史邮件数据；

从所述邮箱账户的历史审计日志和历史邮件数据中提取出每类历史行为特征；

针对每类所述历史行为特征建立与行为特征对应的正常历史行为基线，以得到与每个所述邮箱账户的每类行为特征各自对应的正常历史行为基线。

4.根据权利要求2所述的BEC邮件检测方法，其特征在于，所述对每个所述邮箱账户各自的综合异常得分进行分析，确定出异常邮箱账户的过程为：

将每个所述邮箱账户各自的综合异常得分按照从大到小进行排序；

将综合异常得分大于第一预设值的邮箱账户或将位于前预设名次的邮箱账户作为异常邮箱账户。

5.根据权利要求1所述的BEC邮件检测方法，其特征在于，所述对所述异常邮箱账户进行BEC邮件检测的过程为：

获取所述异常邮箱账户在预设时间段内的所有邮件；

从各个所述邮件中删除含有附件和/或含有链接和/或不含数字的邮件，得到剩余的各个异常邮件；

对每个所述异常邮件进行异常评分，得到每个所述异常邮件各自的综合异常得分；

对每个所述异常邮件的综合异常得分进行分析，得到可疑BEC邮件。

6.根据权利要求5所述的BEC邮件检测方法，其特征在于，所述对每个所述异常邮件进行异常评分，得到每个所述异常邮件各自的综合异常得分的过程为：

针对每个所述异常邮件，提取出所述异常邮件的各类邮件内容特征；

获取预先建立的与所述异常邮件的每类邮件内容特征各自对应的历史正常内容基线；

将每类所述邮件内容特征的特征值与对应的历史正常内容基线进行对比，得到每类所述邮件内容特征各自对应的第二异常得分；

根据每类所述邮件内容特征的第二异常得分，计算出对应的异常邮件的综合异常得分。

7.根据权利要求5所述的BEC邮件检测方法，其特征在于，还包括：

获取所述可疑BEC邮件的行为列表；

将所述可疑BEC邮件以及对应的行为列表作为检测结果进行反馈。

8.一种BEC邮件检测装置，其特征在于，包括：

获取模块，用于针对每个邮箱账户，获取所述邮箱账户的各类当前行为特征；

分析模块，用于对所述邮箱账户的各类所述当前行为特征及对应的各类历史行为特征进行分析，得到所述邮箱账户的综合异常状况；

确定模块，用于根据每个所述邮箱账户的综合异常状况，确定出异常邮箱账户；

检测模块，用于对所述异常邮箱账户进行BEC邮件检测。