[发明专利]一种邮件检测方法、装置、设备及介质

说明书

本申请公开了一种邮件检测方法、装置、设备、介质，该方法包括：在监测到的邮件流量存在威胁信息的情况下，采集所述邮件流量中的目标信息；将所述目标信息发送至目标终端；接收所述目标终端反馈的邮件处理信息，并根据所述邮件处理信息以及所述目标信息确定所述邮件流量是否为鱼叉邮件，其中，所述邮件处理信息为根据所述目标信息和所述邮件流量获得的信息。这样不仅能够利用网络安全设备进行流量层面的检测，还能进行用户终端上的检测，将流量层面的检测和用户终端层面的检测结合起来，扩大邮件流量检测范围，降低误报率和漏报率，提高检测的准确率。

技术领域

本申请涉及网络安全技术领域，特别涉及一种邮件检测方法、装置、设备、介质。

背景技术

鱼叉邮件(spam email)是以木马程序作为附件的电子邮件，鱼叉邮件的附件往往具有一个能够诱发接收者打开的名称，而当接收者打开附件时木马程序便会执行，从而导致接收者的设备感染病毒木马。目前，针对鱼叉邮件的检测主要基于流量层面进行检测，也即对邮件流量的协议进行识别，这样只能识别从互联网到企业服务中的本地邮件服务器的邮件流量，而无法识别出用户从本地邮箱服务器获取恶意邮件的流量行为。更大范围的流量检测等需要部署大量的网关设备，部署成本与运维成本都较大。且基于单一流量层面的检测在很多场景下往往存在较多的误报、漏报。因此，如何提高鱼叉邮件检测的准确率是本领域技术人员要解决的问题。

发明内容

有鉴于此，本申请的目的在于提供一种邮件检测方法、装置、设备、介质，不仅能够利用网络安全设备进行流量层面的检测，还能进行用户终端上的检测，将流量层面的检测和用户终端层面的检测结合起来，扩大邮件流量检测范围，降低误报率和漏报率，提高检测的准确率。其具体方案如下：

第一方面，本申请公开了一种邮件检测方法，应用于网络安全设备，包括：

在监测到的邮件流量存在威胁信息的情况下，采集所述邮件流量中的目标信息；

将所述目标信息发送至目标终端；

接收所述目标终端反馈的邮件处理信息，并根据所述邮件处理信息以及所述目标信息确定所述邮件流量是否为鱼叉邮件，其中，所述邮件处理信息为根据所述目标信息和所述邮件流量获得的信息。

可选地，所述目标信息包括所述邮件流量中的邮件附件、所述邮件附件的文件名及所述邮件附件的MD5值中的一项或多项的组合。

可选地，所述在监测到的邮件流量存在威胁信息的情况下，采集所述邮件流量中的目标信息之前，还包括：

通过威胁情报、杀毒引擎和/或AI算法模型对所述邮件流量进行检测，以确定所述邮件流量是否存在威胁信息。

可选地，所述方法还包括：

在确定所述邮件流量为鱼叉邮件的情况下，根据所述邮件处理信息确定出接收到所述邮件流量的所述目标终端的IP地址；

根据所述目标终端的IP地址确定所述邮件流量对应的攻击范围。

第二方面，本申请公开了一种邮件检测方法，应用于目标终端，包括：

接收网络安全设备发送的目标信息，其中，所述目标信息为所述网络安全设备在监测到邮件流量存在威胁信息的情况下，从所述邮件流量中采集到的信息；

在获取到所述邮件流量时，根据所述目标信息对所述邮件流量进行邮件处理操作，获得邮件处理信息；

向所述网络安全设备反馈所述邮件处理信息，其中，所述邮件处理信息用于结合所述目标信息以确定所述邮件流量是否为鱼叉邮件。

可选地，所述根据所述目标信息对所述邮件流量进行邮件处理操作，包括：

在所述目标信息表明所述邮件流量为恶意邮件流量的情况下，对所述邮件流量中的邮件附件进行隔离和删除操作；