[发明专利]一种垃圾邮件检测方法、装置、电子设备及存储介质

权利要求书

1.一种垃圾邮件检测方法，其特征在于，包括：

获取邮件传输协议流量的日志信息；

对所述日志信息执行邮件发送行为分析得到发件行为分析结果；

根据所述发件行为分析结果确定所述邮件传输协议流量中的异常流量，并根据所述异常流量确定垃圾邮件；

其中，对所述日志信息执行邮件发送行为分析得到发件行为分析结果包括：

对所述日志信息执行主机发件行为分析得到第一发件行为分析结果；

和/或，对所述日志信息执行邮箱发件行为分析得到第二发件行为分析结果。

2.根据权利要求1所述垃圾邮件检测方法，其特征在于，获取邮件传输协议流量的日志信息包括：

利用旁路镜像设备滤除邮件传输协议流量中的干扰流量得到目标邮件传输协议流量；其中，所述干扰流量为缺失预设信息的流量，所述预设信息包括发件人信息、收件人信息和MessageID中任一项或任几项的组合；

获取所述目标邮件传输协议流量的日志信息。

3.根据权利要求1所述垃圾邮件检测方法，其特征在于，对所述日志信息执行主机发件行为分析得到第一发件行为分析结果包括：

按照主机维度对所述日志信息执行聚合操作，得到主机与所述日志信息的对应关系；

根据所述主机与所述日志信息的对应关系确定每一主机的主机发件信息；其中，所述主机发件信息包括邮件发送时间、邮件发送频率、使用过的域名和邮件发送过程中产生的字段中的任一项或任几项的组合；

将所述主机发件信息与第一预设标准信息进行对比得到所述第一发件行为分析结果。

4.根据权利要求3所述垃圾邮件检测方法，其特征在于，根据所述发件行为分析结果确定所述邮件传输协议流量中的异常流量，并根据所述异常流量确定垃圾邮件，包括：

根据所述第一发件行为分析结果确定异常主机，并将与所述异常主机对应的邮件传输协议流量作为所述异常流量；

通过对所述异常流量对应的邮件内容执行语义分析确定所述垃圾邮件。

5.根据权利要求1所述垃圾邮件检测方法，其特征在于，对所述日志信息执行邮箱发件行为分析得到第二发件行为分析结果包括：

按照邮箱维度对所述日志信息执行聚合操作得到聚合结果；其中，所述聚合结果包括邮箱地址与所述日志信息的对应关系或邮箱域名与所述日志信息的对应关系；

根据所述聚合结果确定每一所述邮箱地址或每一所述邮箱域名的邮箱发件信息；其中，所述邮箱发件信息包括使用过的IP地址、主机名、邮件发送的目标邮箱和所述目标邮箱的IP地址；

将所述邮箱发件信息与第二预设标准信息进行对比得到所述第二发件行为分析结果。

6.根据权利要求5所述垃圾邮件检测方法，其特征在于，根据所述发件行为分析结果确定所述邮件传输协议流量中的异常流量，并根据所述异常流量确定垃圾邮件，包括：

根据所述第二发件行为分析结果确定异常邮箱或异常域名，并将与所述异常邮箱或所述异常域名对应的邮件传输协议流量作为所述异常流量；

通过对所述异常流量对应的邮件内容执行语义分析确定所述垃圾邮件。

7.一种垃圾邮件检测装置，其特征在于，包括：

日志获取模块，用于获取邮件传输协议流量的日志信息；

行为分析模块，用于对所述日志信息执行邮件发送行为分析得到发件行为分析结果；

垃圾邮件确定模块，用于根据所述发件行为分析结果确定所述邮件传输协议流量中的异常流量，并根据所述异常流量确定垃圾邮件；

其中，所述行为分析模块包括：

第一分析单元，用于对所述日志信息执行主机发件行为分析得到第一发件行为分析结果；

和/或，第二分析单元，用于对所述日志信息执行邮箱发件行为分析得到第二发件行为分析结果。

8.一种用于垃圾邮件检测的电子设备，其特征在于，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器调用所述存储器中的计算机程序时实现如权利要求1至6任一项所述垃圾邮件检测方法的步骤。

9.一种存储介质，其特征在于，所述存储介质中存储有计算机可执行指令，所述计算机可执行指令被处理器加载并执行时，实现如上权利要求1至6任一项所述垃圾邮件检测方法的步骤。