[发明专利]一种邮箱恶意自动转发行为识别方法及装置

权利要求书

1.一种邮箱恶意自动转发行为识别方法，包括以下步骤：

（1）从接入的网络流量中抽取POP/IMAP/SMTP协议数据，对抽取的协议数据进行解析，形成邮件元数据集F={M₁，M₂，…，M_n}，其中M_i表示一条邮件数据，其为包含from_i，to_i，s_i，t_i的四元组，from为邮件发件人，to为邮件收件人，s为邮件主题，t为邮件发送时间，i∈[1,n]，n为邮件元数据数量，发件人from_i和收件人to_i格式均为username@hostname的字符串，username代表邮箱登录用户名，hostname代表邮箱服务提供商；

（2）对邮件元数据集进行数据清洗，并将清洗后数据整合、排序形成一个有序数据集；

（3）从完整的有序数据集中提取要检测的特定时间区间内的数据，形成一个待检测数据文件，设定滑动窗口时间，对待检测数据文件中每条数据以滑动窗口为范围向前搜索数据，按设定规则筛选具有自动转发关系的邮件，并提取转发源、转发目标和转发比例，生成邮件自动转发关系列表，其中所述设定规则是指在所述滑动窗口时间内存在两条按时间先后顺序排列的邮件元数据，前一个元数据中的收件人为后一个元数据中的发件人，且两个邮件数据主题相同，则判定前一条元数据中的收件人将邮件自动转发至后一个元数据中的收件人，转发源为前一个元数据中的收件人，转发目标为后一个元数据中的收件人；

（4）过滤掉邮件自动转发关系列表中转发比例低于设定阈值的转发关系，并对相似的转发目标进行归并，对归并形成的每一类转发目标，统计其转发源数量，若同类转发目标对应的转发源数量超过设定阈值，则判定这些转发源与其转发目标之间存在恶意自动转发行为；

其中，通过以下步骤归并形成每一类转发目标：

a）对各转发目标进行字符串处理，得到邮箱登录用户名，其中所述字符串处理包括：删除各转发目标中邮箱登录用户名的纯数字最大右子串；

b）对具有相同邮箱登录用户名的转发目标，若邮箱服务提供商相同，则归并为一类。

2.如权利要求1所述的一种邮箱恶意自动转发行为识别方法，其特征在于，步骤（2）中所述清洗和排序是指对邮件元数据集F进行筛选，去除四元组信息残缺数据，并对数据M_i以元素t进行排序，生成一个有序数据集F^’。

3.如权利要求1所述的一种邮箱恶意自动转发行为识别方法，其特征在于，步骤（3）中所述特定时间区间为1d。

4.如权利要求1所述的一种邮箱恶意自动转发行为识别方法，其特征在于，步骤（3）中所述滑动窗口时间为3min。

5.如权利要求1所述的一种邮箱恶意自动转发行为识别方法，其特征在于，步骤（3）所述自动转发关系包含了从待检测数据集中通过自动转发关系判定规则统计分析出的转发源、转发目标、自动转发次数、自动转发比例信息。

6.如权利要求1所述的一种邮箱恶意自动转发行为识别方法，其特征在于，步骤（4）中自动转发比例的设定阈值th1为0.9-1.0。

7.如权利要求1所述的一种邮箱恶意自动转发行为识别方法，其特征在于，步骤（4）中转发源数量设定阈值th2不小于2。

8.一种邮件恶意自动转发行为识别装置，包括：

数据抽取与解析模块，用于接收原始流量数据，从中抽取POP/IMAP/SMTP数据，最终数据解析成邮件元数据，形成邮件元数据集F={M₁，M₂，…，M_n}，其中M_i表示一条邮件数据，其为包含from_i，to_i，s_i，t_i的四元组，from为邮件发件人，to为邮件收件人，s为邮件主题，t为邮件发送时间，i∈[1,n]，n为邮件元数据数量，发件人from_i和收件人to_i格式均为username@hostname的字符串，username代表邮箱登录用户名，hostname代表邮箱服务提供商；

数据清洗与排序模块，用于处理对邮件元数据进行清洗，并对数据进行排序，生成有序数据集；

自动转发关系生成模块，用于根据检测时间从有序数据集中选择待检测数据，统计邮件收发数据形成收邮统计列表，并根据滑动时间窗口按设定规则识别自动转发关系，转发源自动转发次数，结合收邮统计列表计算自动转发关系自动转发比，并生成自动转发关系列表，其中所述设定规则是指在所述滑动窗口时间内存在两条按时间先后顺序排列的邮件元数据，前一个元数据中的收件人为后一个元数据中的发件人，且两个邮件数据主题相同，则判定前一条元数据中的收件人将邮件自动转发至后一个元数据中的收件人，转发源为前一个元数据中的收件人，转发目标为后一个元数据中的收件人；

恶意自动转发行为分析与判定模块，用于对自动转发关系列表进行分析，过滤掉自动转发比低于设定阈值的转发关系，将相似转发目标归并为一类，转发关系按转发目标归并类别划分，统计类别转发源数量，最终通过设定阈值判定邮箱恶意转发行为，并输出结果和告警；

其中，通过以下步骤归并形成的每一类转发目标：

a）对各转发目标进行字符串处理，得到邮箱登录用户名，其中所述字符串处理包括：删除各转发目标中邮箱登录用户名的纯数字最大右子串；

b）对具有相同邮箱登录用户名的转发目标，若邮箱服务提供商相同，则归并为一类。