[发明专利]一种邮箱恶意自动转发行为识别方法及装置

说明书

本发明公开了一种邮箱恶意自动转发行为识别方法及装置，通过解析流量数据形成邮件元数据，经过清洗筛选等预处理，对邮件元数据进行统计和特征分析，产生转发关系列表，对相似的转发目标进行归并，根据归并结果统计分析，从而识别出邮件数据中的邮箱恶意自动转发行为。本发明可使业务部门通过监测受保护邮箱系统的数据，及时发现邮箱恶意自动转发行为，并根据判定结果进行告警。

技术领域

本发明涉及一种邮箱恶意自动转发行为识别方法及装置，尤其涉及一种根据原始流量或者从原始流量中还原出的POP/IMAP/SMTP协议元数据检测发现邮箱恶意自动转发行为的方法及装置，属于信息安全领域。

技术背景

目前，邮件能够直观、准确的传输和记录信息，已经成为人们日常工作中必不可少的一种沟通方式。邮件自动转发是邮件系统为用户提供的一项更为便捷的功能，邮件系统能够根据用户的配置自行发起邮件转发行为，实时地将收到的邮件转发到目的邮箱。由于邮件自动转发具有较高的实时性，且一旦设置后即便用户修改邮箱密码也依然有效，因此也经常被用作窃取邮箱数据的一种方式，给用户的邮件安全带来了巨大的风险。

传统的邮件服务提供商主要通过邮箱地址检测、附件格式检测以及众包举报等方式对邮件的安全性进行检测，这些方式对用于黑产和种植木马的恶意邮件有一定效果，但无法检测发现邮箱因被恶意设置自动转发，导致邮件信息被长期窃取的情况。

发明内容

针对被恶意设置自动转发，长期窃取邮箱内邮件信息的情况，本发明的目的在于提出一种邮箱恶意自动转发行为识别方法，通过解析流量数据形成邮件元数据，经过清洗筛选等预处理，对邮件元数据进行统计和特征分析，产生转发关系列表，对相似的转发目标进行归并，根据归并结果统计分析，从而识别出邮件数据中的邮箱恶意自动转发行为。

为实现上述目的，本发明对邮箱恶意转发行为的识别方法主要包括以下步骤：

(1)从接入的网络流量中抽取POP/IMAP/SMTP协议数据，对抽取的协议数据进行解析，形成邮件元数据集；

(2)对邮件元数据集进行数据清洗，去除无用数据，并将清洗后数据整合、排序形成一个有序数据集；

(3)从完整的有序数据集中提取要检测的特定时间区间内的数据，形成一个待检测数据文件，设定滑动窗口时间，对待检测数据文件中每条数据以滑动窗口为范围向前搜索数据，按设定规则筛选具有自动转发关系的邮件，并提取转发源、转发目标和转发比例，生成邮件自动转发列表；

(4)过滤掉邮件自动转发关系列表中转发比例低于设定阈值的转发关系，并对相似的转发目标进行归并，对归并形成的每一类转发目标，统计其转发源数量，若同类转发目标对应的转发源数量超过设定阈值，则判定这些转发源与其转发目标之间存在恶意自动转发行为。

进一步地，步骤(1)中所述邮件元数据集可表示为F＝{M₁，M₂，…，M_n}，其中M_i表示一条邮件数据。M_i是一个包含from_i，to_i，s_i，t_i的四元组，其中from为发件人，to为收件人，s为邮件主题，t为发送时间，i∈[1,n]。发件人from和收件人to均为格式为username@hostname的字符串，username代表邮箱登录用户名，hostname代表邮箱服务提供商。

进一步地，步骤(2)中所述清洗和排序是对邮件元数据集F进行筛选，去除残缺数据，保证每条数据中四元组信息完整，并对数据M_i以元素t进行排序，生成一个有序数据集F^’。若存在多个邮件子数据集F₁、F₂、…、F_n，对所有子数据集进行清洗，并将所有数据以元素t进行排序，合并生成一个有序邮件数据集F^’。