[发明专利]用于检测敏感数据通过网络的未授权批量转发的方法和装置

权利要求书

1.一种用于自动检测电子邮件从第一网络环境的批量转发的方法，包括：

确定从所述第一网络环境接收到在所述第一网络环境的一个或多个用户账户内的内部电子邮件的到达率；

确定从所述一个或多个用户账户发送到第二网络环境的外部电子邮件的发送率；以及

通过比较内部电子邮件的所述到达率和外部电子邮件的所述发送率，检测电子邮件从指定用户账户的所述批量转发。

2.根据权利要求1所述的方法，其中，所述确定内部电子邮件的所述到达率的步骤还包括：获取所述到达内部电子邮件的统计模型的步骤。

3.根据权利要求1所述的方法，其中，所述确定外部电子邮件的所述发送率的步骤还包括：获取所述已发送内部电子邮件的统计模型的步骤。

4.根据权利要求1所述的方法，其中，所述确定从所述一个或多个用户账户发送的外部电子邮件的所述发送率的步骤还包括以下步骤：导出从连接到所述第一网络环境的一个或多个计算机系统发送的外部电子邮件的发送率；以及将所述一个或多个用户账户映射到所述一个或多个计算机系统。

5.根据权利要求1所述的方法，其中，所述检测电子邮件从指定用户账户的所述批量转发的步骤还包括：确定内部电子邮件的所述到达率的统计模型和外部电子邮件的所述发送率的统计模型是否在时间上相关的步骤。

6.根据权利要求5所述的方法，其中，确定所述统计模型是否在时间上相关的步骤包括：评估从所述第一网络环境接收到的所述内部电子邮件和从所述一个或多个用户账户发送的所述外部电子邮件的定时、大小和内容特性中的一个或多个。

7.根据权利要求5所述的方法，其中，所述统计模型中的一个或多个包括消息大小在时间窗口上的离散分布。

8.根据权利要求5所述的方法，其中，所述统计模型中的一个或多个测量所述到达内部电子邮件的流与所述已发送外部电子邮件的流之间的相似度。

9.根据权利要求1所述的方法，还包括：生成用于审核的警告的步骤。

10.一种用于自动检测电子邮件从第一网络环境的批量转发的装置，所述装置包括：

存储器；以及

耦合到所述存储器的至少一个硬件设备，其被操作以：

确定从所述第一网络环境接收到在所述第一网络环境的一个或多个用户账户内的内部电子邮件的到达率；

确定从所述一个或多个用户账户发送到第二网络环境的外部电子邮件的发送率；以及

通过比较内部电子邮件的所述到达率和外部电子邮件的所述发送率，检测电子邮件从指定用户账户的所述批量转发。

11.根据权利要求10所述的装置，其中，内部电子邮件的所述到达率通过获取所述到达内部电子邮件的统计模型来确定。

12.根据权利要求10所述的装置，其中，外部电子邮件的所述发送率通过获取所述已发送内部电子邮件的统计模型来确定。

13.根据权利要求10所述的装置，其中，从所述一个或多个用户账户发送的外部电子邮件的所述发送率通过导出从连接到所述第一网络环境的一个或多个计算机系统发送的外部电子邮件的发送率并将所述一个或多个用户账户映射到所述一个或多个计算机系统来确定。

14.根据权利要求10所述的装置，其中，电子邮件从指定用户账户的所述批量转发通过确定内部电子邮件的所述到达率的统计模型和外部电子邮件的所述发送率的统计模型是否在时间上相关来检测。

15.根据权利要求14所述的装置，其中，所述确定所述统计模型是否在时间上相关包括：评估从所述第一网络环境接收到的所述内部电子邮件和从所述一个或多个用户账户发送的所述外部电子邮件的定时、大小和内容特性中的一个或多个。

16.根据权利要求14所述的装置，其中，所述统计模型中的一个或多个包括消息大小在时间窗口上的离散分布。

17.根据权利要求14所述的装置，其中，所述统计模型中的一个或多个测量所述到达内部电子邮件的流和所述已发送外部电子邮件的流之间的相似度。

18.根据权利要求10所述的装置，其中，所述至少一个硬件设备还被配置为生成用于审核的警告。