[发明专利]基于附件的鱼叉式钓鱼邮件检测方法、系统及装置

说明书

本申请公开了一种基于附件的鱼叉式钓鱼邮件检测方法、系统、装置及计算机可读存储介质，在初始就筛选出包括附件的邮件，减少了检测系统所需进一步检测的邮件数量，提高了检测效率，再提取邮件中的第一特征向量，并利用附件分类器对第一特征向量进行初步分析，如果第一特征向量存在恶意，再由高对抗沙箱模拟附件的运行环境进一步提取出目标邮件中附件的动态特征向量，减少了数据量，同时高对抗沙箱能够提取动态特征向量，对附件的特征信息提取更全面，最后由鱼叉式分类器对第一特征向量和动态特征向量进行再次分析，实现二次分析，进一步加强对目标邮件的分析准确度，确保不会漏检，提高检测的准确度。

技术领域

本发明涉及网络安全领域，特别涉及一种基于附件的鱼叉式钓鱼邮件检测方法、系统、装置及计算机可读存储介质。

背景技术

钓鱼邮件是使用社会工程学进行攻击的一种方式，鱼叉式钓鱼邮件是一种高级的钓鱼邮件。相比普通的钓鱼邮件，鱼叉式钓鱼邮件具有极强针对性，这使得鱼叉式钓鱼邮件的危害远高于普通钓鱼邮件。近年来，鱼叉式钓鱼邮件的数量持续上升，给网络空间安全带来了极大的威胁。

基于附件的鱼叉式钓鱼邮件是指攻击者在邮件中附带恶意附件的方式，当收件人打开附件后，该恶意附件就会自动执行，利用相关漏洞进行后续控制主机、窃取信息、横向移动传播等恶意操作。与钓鱼邮件所使用的附件不同的是，鱼叉式钓鱼邮件的附件，是攻击者花费大量精力挖掘的或花费大量资金购买的0-day漏洞然后精心制作而成，对于这类具有高级威胁的附件，传统的特征码检测方案是失效的。

当前，针对基于附件的鱼叉式基于附件的鱼叉式钓鱼邮件检测方案，缺乏针对性的研究，常用的方法依旧沿袭于恶意代码检测。第一种方案是静态的特征码匹配。这种方案最大的问题在于特征码需要手工分析，无法满足日益增多的恶意代码和恶意代码变异；第二种方式是动态分析，也即在沙箱等模拟环境下对恶意附件进行动态的运行，然后使用机器学习的方式进行分类检测。这种方案的问题在于，面对数量巨大的邮件，一方面沙箱分析会消耗大量时间，另一方面，当前机器学习分类的准确率和召回率较低，最后，具有沙箱检测功能的恶意附件，普通沙箱无法进行有效分析拿到动态的特征行为。

因此，当前的对基于附件的鱼叉式基于附件的鱼叉式钓鱼邮件检测方案存在误报率高、召回率低、效率低等问题。

为此，需要一种召回率高、误报率低、效率高的基于附件的鱼叉式钓鱼邮件检测方法。

发明内容

有鉴于此，本发明的目的在于提供一种基于附件的鱼叉式钓鱼邮件检测方法、系统、装置及计算机可读存储介质，召回率高、误报率低、效率高。其具体方案如下：

一种基于附件的鱼叉式钓鱼邮件检测方法，包括：

检测目标邮件中是否包括附件；

如果所述目标邮件包括附件，则提取所述目标邮件中第一特征向量，所述第一特征向量包括信誉特征向量、习惯特征向量和附件的附件特征向量；

利用附件分类器对所述第一特征向量进行分析，判断所述第一特征向量是否具备恶意；

如果所述第一特征向量具备恶意，则利用高对抗沙箱提取所述目标邮件中附件的动态特征向量；

利用鱼叉式分类器对所述第一特征向量和所述动态特征向量进行分析，判断所述目标邮件是否具备恶意；

如果所述目标邮件具备恶意，则告警；

其中，所述附件分类器为预先利用历史邮件中历史附件的历史第一特征向量进行训练得到的，所述鱼叉式分类器为预先利用历史邮件中的历史第一特征向量和历史动态特征向量进行训练得到的。

可选的，所述提取所述目标邮件中第一特征向量的过程，包括：

调用特征提取模型；