[发明专利]一种基于拓扑行为的垃圾邮件判定方法

说明书

(一)技术领域

本发明涉及的是一种垃圾邮件的判定方法。

(二)背景技术

电子邮件凭借低廉、简单、快捷的优势已经成为人们工作和生活中的重要通信方式，但人们在享受电子邮件提供诸多便捷之时，也在忍受着它的副产品所带来了的痛苦，即互联网上垃圾邮件泛滥成灾，并且近几年有愈演愈烈的趋势。

目前对垃圾邮件的治理还是集中在依靠垃圾邮件过滤技术。而以内容识别为主的邮件过滤系统，在使用过程中渐渐发现它们也存在着一些缺陷。内容过滤需要训练、分类、计算，过滤过程需要耗费大量系统资源，所以处理速度比较慢，CPU和内存占用较高，效率低。准确性依赖大量的历史数据，故生命周期短。对于经常变换内容的垃圾邮件，效果也不是很好。因为它始终没有逃离关键词匹配的思想，所以关键词库需要不断更新维护，是一种被动的处理过程。另外，该技术需要将邮件全部接收下来再进一步处理，虽然判断出垃圾邮件，但并没有节省网络流量开销。

对于拓扑行为的垃圾邮件判定还处于起步阶段，如Scale-free topology ofe-mail network[J]，2002，偏重于建立邮件网络模型，以用户为节点，以通信关系为边，从邮件服务器日志中截取一定信息来建立网络模型，并通过试验证明邮件世界同样有scale free和small world属性；Comparative graphTheoretical Characterization of Networks of Spam and RegularEmail[EB/OL].http://arxiv.Org/abs/cond-mat/0503725，通过邮件发送者和接收者产生的边界流图。作者通过用户图表和域图表在各个指标如网络聚合度、出入度差异等方面差异来分析垃圾邮件和正常邮件的特征，使用HIS算法来分析流量图的演化结构，并提出如何动态地调整图的关系结构的方法。上面典型的垃圾邮件判定方法还属于概念性的表述，如果没有大量后续工作的展开，是难以在垃圾邮件判定中得到应用。

(三)发明内容

本发明的目的在于提供一种通过分析邮件之间的通讯拓扑关系来对垃圾邮件进行快速判定的方法。

本发明的目的是这样实现的：

1)根据电子邮件的通讯关系，建立一个通讯关系拓扑图；

2)对通讯关系拓扑图中，具有双向通讯关系的用户归并为一个类，建立垃圾邮件的判定模型；

3)通过待检测的邮件中提取from邮箱地址和to邮箱地址，并判断其是否为垃圾邮件；

4)对垃圾邮件判定模型进行更新。

所述的建立邮件通讯关系拓扑图：1)从每一封电子邮件中抽取出from邮箱地址和to邮箱地址；2)建立一条从from邮箱地址到to邮箱地址有向图。

所述的建立垃圾邮件判定模型是：1)将网络中所有节点集合为U，from表里存放可直达该节点的节点，to表里存放该节点可直达的节点。2)在U中任取一个节点a，把a放进集合T1中；3)在from表中查找出a可到达的所有的节点ak，并加入到T1中；4)在from表中查找ak可达的所有节点，并加入到T1中(已有的不再加入)，重复这种查找直到T1不再发生变化；5)同样的方法在to表中进行查找，得到另一个集合T2，取T1和T2的交集T为节点a的类(当然也是T中任意一个元素的类)；6)在U中去掉T中元素，再选择一个节点，重复3、4、5过程得出新的类，如此下去直至U为空；7)对每一个分出来的类，若其内元素个数大于等于2则为正常类，给其分配一个奇素数类号，其它所有节点都归为一个奇异类，为其分配类号为1。

所述的垃圾邮件判定方法是：1)首先要提取出from邮箱地址和to邮箱地址，检查它们的类号，如果两个邮箱中至少有一个没有类号，说明是新邮箱之间通信或已有的类与新邮箱通信，这时暂判为正常邮件，把没有类号的邮箱的类号记为1(奇异类)并记录下通信关系。然后根据其以后的通信情况，再做相应判断和处理。否则，向下继续进行；2)检查两个邮箱所属类号的最大公约数，如果最大公约数大于1，则这封邮件被判为正常邮件。如果最大公约数为1，向下继续进行；3)看发送者是否在接受者已发送但并未回复的地址中，既判断这封邮件是否是一封回复邮件。如果是，则说明发送者和接收者在互相通信，则这封邮件被判为正常邮件。同时，还要更新类的信息。否则向下继续进行；4)统计这个发送者向这个接收者已发送但并没有得到回复的邮件数目，并将其与我们设定的阈值相比较。如果小于阈值，就判为正常邮件。如果大于等于阈值，则判为垃圾邮件。