[发明专利]邮件威胁检测方法、装置、计算设备及计算机存储介质

权利要求书

1.一种邮件威胁检测方法，其包括：

基于邮件网关镜像获取网络侧所产生的邮件流量数据；

根据所述邮件流量数据，利用邮件旁路还原得到待检测的邮件信息；

对所述待检测的邮件信息进行动态检测，确定所述邮件信息是否携带有威胁情报；

若是，对所述邮件信息进行拦截处理。

2.根据权利要求1所述的方法，其中，所述邮件信息包括邮件内容、邮件发件地址、邮件收件地址和/或邮件附件。

3.根据权利要求2所述的方法，其中，所述对所述待检测的邮件信息进行动态检测，确定所述邮件信息是否携带有威胁情报进一步包括：

利用沙箱动态模拟运行邮件附件，根据收集到的运行信息确定所述邮件附件是否携带有威胁情报。

4.根据权利要求3所述的方法，其中，所述方法还包括：

根据所述运行信息对所述邮件信息进行威胁风险评级，确定所述邮件信息的威胁等级。

5.根据权利要求3所述的方法，其中，所述方法还包括：

提取所述邮件信息中的威胁情报作为恶意样本更新至沙箱检测中。

6.根据权利要求2所述的方法，其中，所述对所述待检测的邮件信息进行动态检测，确定所述邮件信息是否携带有威胁情报进一步包括：

利用机器学习算法对邮件内容中包含的URL链接进行分类解析，检测所述URL链接是否为调用类链接；

若是，确认所述邮件信息携带有威胁情报。

7.根据权利要求1-6中任一项所述的方法，其中，所述对所述邮件信息进行拦截处理进一步包括：

根据所述邮件信息生成告警工单，以供用户对所述邮件信息进行拦截处理。

8.一种邮件威胁检测装置，其包括：

获取模块，适于基于邮件网关镜像获取网络侧所产生的邮件流量数据；

还原模块，适于根据所述邮件流量数据，利用邮件旁路还原得到待检测的邮件信息；

检测模块，适于对所述待检测的邮件信息进行动态检测，确定所述邮件信息是否携带有威胁情报；

拦截模块，适于若所述检测模块检测邮件信息携带有威胁情报，对所述邮件信息进行拦截处理。

9.一种计算设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；

所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如权利要求1-7中任一项所述的邮件威胁检测方法对应的操作。

10.一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如权利要求1-7中任一项所述的邮件威胁检测方法对应的操作。