[发明专利]基于附件的鱼叉式钓鱼邮件检测方法、系统及装置

权利要求书

1.一种基于附件的鱼叉式钓鱼邮件检测方法，其特征在于，包括：

检测目标邮件中是否包括附件；

如果所述目标邮件包括附件，则提取所述目标邮件中第一特征向量，所述第一特征向量包括信誉特征向量、习惯特征向量和附件的附件特征向量；

利用附件分类器对所述第一特征向量进行分析，判断所述第一特征向量是否具备恶意；

如果所述第一特征向量具备恶意，则利用高对抗沙箱提取所述目标邮件中附件的动态特征向量；

利用鱼叉式分类器对所述第一特征向量和所述动态特征向量进行分析，判断所述目标邮件是否具备恶意；

如果所述目标邮件具备恶意，则告警；

其中，所述附件分类器为预先利用历史邮件中历史附件的历史第一特征向量进行训练得到的，所述鱼叉式分类器为预先利用历史邮件中的历史第一特征向量和历史动态特征向量进行训练得到的。

2.根据权利要求1所述的基于附件的鱼叉式钓鱼邮件检测方法，其特征在于，所述提取所述目标邮件中第一特征向量的过程，包括：

调用特征提取模型；

利用所述特征提取模型和邮件元数据，提取所述目标邮件中附件的所述第一特征向量。

3.根据权利要求2所述的基于附件的鱼叉式钓鱼邮件检测方法，其特征在于，所述利用高对抗沙箱提取所述目标邮件的邮件特征向量的过程，包括：

利用所述高对抗沙箱模拟所述目标邮件中附件的环境运行，监测附件的运行信息，得到附件的所诉动态特征向量。

4.根据权利要求3所述的基于附件的鱼叉式钓鱼邮件检测方法，其特征在于，所述利用鱼叉式分类器对所述第一特征向量和所述动态特征向量进行分析，判断所述目标邮件是否具备恶意的过程，包括：

对所述第一特征向量和所述动态特征向量进行统一编码，得到综合特征向量；

利用鱼叉式分类器对所述综合特征向量进行分析，判断所述目标邮件是否具备恶意。

5.一种基于附件的鱼叉式钓鱼邮件检测系统，其特征在于，包括：

附件检测模块，用于检测目标邮件中是否包括附件；

第一特征提取模块，用于如果所述目标邮件包括附件，则提取所述目标邮件中第一特征向量，所述第一特征向量包括信誉特征向量、习惯特征向量和附件的附件特征向量；

第一恶意分析模块，用于利用附件分类器对所述第一特征向量进行分析，判断所述第一特征向量是否具备恶意；

第二特征提取模块，用于如果所述第一恶意分析模块判定所述第一特征向量具备恶意，则利用高对抗沙箱提取所述目标邮件中附件的动态特征向量；

第二恶意分析模块，用于利用鱼叉式分类器对所述第一特征向量和所述动态特征向量进行分析，判断所述目标邮件是否具备恶意；

告警模块，用于如果所述第二恶意分析模块判定所述目标邮件具备恶意，则告警；

其中，所述附件分类器为预先利用历史邮件中历史附件的历史第一特征向量进行训练得到的，所述鱼叉式分类器为预先利用历史邮件中的历史第一特征向量和历史动态特征向量进行训练得到的。

6.根据权利要求5所述的基于附件的鱼叉式钓鱼邮件检测系统，其特征在于，所述第一特征提取模块，包括：

提取模型调用单元，用于调用特征提取模型；

第一特征提取单元，用于利用所述特征提取模型和邮件元数据，提取所述目标邮件中附件的所述第一特征向量。

7.根据权利要求6所述的基于附件的鱼叉式钓鱼邮件检测系统，其特征在于，所述第二特征提取模块，具体用于利用所述高对抗沙箱模拟所述目标邮件中附件的环境运行，监测附件的运行信息，得到附件的所诉动态特征向量。

8.根据权利要求7所述的基于附件的鱼叉式钓鱼邮件检测系统，其特征在于，所述第二恶意分析模块，包括：

统一编码单元，用于对所述第一特征向量和所述动态特征向量进行统一编码，得到综合特征向量；

第二恶意分析单元，用于利用鱼叉式分类器对所述综合特征向量进行分析，判断所述目标邮件是否具备恶意。