[发明专利]基于行为的恶意邮件发送节点检测方法

摘要

本发明公开了一种基于行为的恶意邮件发送节点检测方法。该检测方法是利用决策树理论对蠕虫邮件和一般垃圾邮件进行分类判断，由此确定出恶意邮件的发送源头。本方法不仅可以应用于局域网接入点，也可应用于广域网，因此能够在大规模的网络条件下以较小的资源消耗来检测、发现恶意垃圾邮件的发送源头，所以检测率和召回率好。另外，与传统的垃圾邮件蠕虫检测方法相比，本方法的检测效率高。而与传统的基于特征串匹配的检测方法相比，本方法的系统维护量小。

主权项

一种基于行为的恶意邮件发送节点检测方法，其特征在于：所述的检测方法包括按顺序进行的下列步骤：(1)判断邮件地址所包含的域名是否真实的S1阶段：如域名存在，则判定为正常邮件，设定SDomain_Exist＝1，然后进入S2阶段；反之，设定SDomain_Exist＝0，然后跳转至S6阶段；(2)判断邮件源IP与源域是否相匹配的S2阶段：如果匹配，设定SIP_Domain＝1，然后跳转至S7阶段，即判定为正常邮件；反之，设定SIP_Domain＝0，然后进入S3阶段；(3)判断邮件发送/接收者是否使用代称的S3阶段：当邮件使用代称时，设定Named＝1，然后进入S4阶段；否则设定Named＝0，然后跳转至S11阶段，即判定为蠕虫感染；(4)判断邮件目的IP与源域是否相匹配的S4阶段：如果得到匹配的结果，则设定DIP_FromDomain＝1；反之，设定DIP_FromDomain＝0，然后跳转至S10阶段，即判定为垃圾邮件；(5)判断邮件源域与目的IP地址数量是否相符的S5阶段：如果单位时间内源域的数量×5‑IP地址数量≥0，则设定Equal_DIP_FromDomain＝1，然后进入S8阶段，即判定为正常节点；反之，如果单位时间内源域的数量×5‑IP地址数量＜0，则设定Equal_DIP_FromDomain＝0，然后跳转至S9阶段，即判定为异常节点；(6)判断邮件发送/接收者是否使用代称的S6阶段：当邮件使用代称时，设定Named＝1，然后进入S12阶段，即判定为垃圾邮件；否则设定Named＝0，然后跳转至S13阶段，即判定为恶意邮件蠕虫。