CN109218168A - 敏感邮件信息的阻断方法和装置 - Google Patents

Abstract

本发明提供了敏感邮件信息的阻断方法和装置，应用于终端设备，该方法包括：获取用户发送的邮件信息；将预设敏感规则信息与邮件信息进行对比，其中，预设敏感规则信息包括机密文件信息关键字和收件人黑名单；判断邮件信息是否包含敏感信息；如果邮件信息中包含敏感信息，阻断邮件信息的发送，并记录相应的阻断信息；将阻断信息发送至服务器，以使服务器进行审计，得到邮件信息的审计结果；接收服务器发送的审计结果；根据审计结果，对邮件信息存在的风险进行预警。通过对发送的邮件进行敏感信息的审计和预警，增加了重要邮件信息的安全性。

Description

敏感邮件信息的阻断方法和装置

技术领域

本发明涉及大数据安全技术领域，尤其是涉及敏感邮件信息的阻断方法和装置。

背景技术

目前，公司内部通过邮件来进行信息之间的传输，但是无法监控公司内部发送的邮件信息是否包含公司重要信息和机密文件，而导致公司内部重要信息通过邮件的方式泄露。针对内部邮件信息无法监管，而导致公司内部重要信息的安全性较差。

发明内容

有鉴于此，本发明的目的在于提供敏感邮件信息的阻断方法和装置，通过对发送的邮件进行敏感信息的审计和预警，增加了重要邮件信息的安全性。

第一方面，本发明实施例提供了敏感邮件信息的阻断方法，应用于终端设备，该方法包括：获取用户发送的邮件信息；将预设敏感规则信息与邮件信息进行对比，其中，预设敏感规则信息包括机密文件信息关键字和收件人黑名单；判断邮件信息是否包含敏感信息；如果邮件信息中包含敏感信息，阻断邮件信息的发送，并记录相应的阻断信息；将阻断信息发送至服务器，以使服务器进行审计，得到邮件信息的审计结果；接收服务器发送的审计结果；根据审计结果，对邮件信息存在的风险进行预警。

进一步地，上述根据审计结果，对邮件信息存在的风险进行预警，包括：将审计结果与预设条件进行对比，来判断邮件信息是否存在风险；如果存在风险，对邮件信息存在的风险进行预警。

进一步地，上述判断邮件信息是否包含敏感信息，还包括：如果邮件信息中不包含敏感信息，发送邮件信息。

进一步地，该方法还包括：生成对应于邮件信息的日志信息，将日志信息存储在Redis中；将Redis中的日志信息存储在Elasticsearch集群中，并删除Redis中的日志信息。

进一步地，上述阻断信息包括阻断邮件信息对应的硬件信息、用户信息、阻断时间和阻断信息内容中的一种或几种。

进一步地，上述邮件信息包括加密邮件信息和未加密邮件信息。

第二方面，本发明实施例提供了敏感邮件信息的阻断装置，应用于终端设备，该装置包括：获取模块，用于获取用户发送的邮件信息；对比模块，用于将预设敏感规则信息与邮件信息进行对比，其中，该预设敏感规则信息包括机密文件信息关键字和收件人黑名单；判断模块，用于判断邮件信息是否包含敏感信息；阻断模块，用于如果邮件信息中包含敏感信息，阻断邮件信息的发送，并记录相应的阻断信息；审计模块，用于将阻断信息发送至服务器，以使服务器进行审计，得到邮件信息的审计结果；接收模块，用于接收服务器发送的审计结果；预警模块，用于根据审计结果，对邮件信息存在的风险进行预警。

进一步地，上述预警模块还用于：将审计结果与预设条件进行对比，来判断邮件信息是否存在风险；如果存在风险，对邮件信息存在的风险进行预警。

进一步地，该装置还包括：生成模块，用于生成对应于邮件的发送日志，将发送日志存储在Redis中；存储模块，用于将Redis中的发送日志存储在Elasticsearch集群中，并删除Redis中的发送日志。

进一步地，上述阻断信息包括阻断邮件信息对应的硬件信息、用户信息、阻断时间和阻断信息内容中的一种或几种。

本发明实施例带来了以下有益效果：

本发明实施例提供了敏感邮件信息的阻断方法和装置，应用于终端设备，该方法包括：获取用户发送的邮件信息；将预设敏感规则信息与邮件信息进行对比，其中，预设敏感规则信息包括机密文件信息关键字和收件人黑名单；判断邮件信息是否包含敏感信息；如果邮件信息中包含敏感信息，阻断邮件信息的发送，并记录相应的阻断信息；将阻断信息发送至服务器，以使服务器进行审计，得到邮件信息的审计结果；接收服务器发送的审计结果；根据审计结果，对邮件信息存在的风险进行预警。通过对发送的邮件进行敏感信息的审计和预警，增加了重要邮件信息的安全性。

本公开的其他特征和优点将在随后的说明书中阐述，或者，部分特征和优点可以从说明书推知或毫无疑义地确定，或者通过实施本公开的上述技术即可得知。

为使本公开的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一提供的敏感邮件信息的阻断方法的流程图；

图2为本发明实施例二提供的另一敏感邮件信息的阻断方法的流程图；

图3为本发明实施例三提供的敏感邮件信息的阻断装置的结构示意图；

图4为本发明实施例三提供的另一敏感邮件信息的阻断装置的结构示意图；

图5为本发明实施例四提供的终端设备的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

现有技术中，只能阻断从内网到外网的邮件信息中包含的敏感信息，无法阻断从内网到内网的邮件信息中包含的敏感信息；并且如果要阻断邮件信息中的敏感信息，需要通过一个专用设备分析网络数据包达到阻断敏感信息的目的；对于加密传输的邮件无法采集。基于此，本发明实施例提供了敏感邮件信息的阻断方法和装置，可以采集加密和非加密的邮件，对邮件信息进行敏感信息审计和预警，提高了重要邮件信息的安全性。

为便于对本实施例进行理解，首先对本发明实施例所公开的敏感邮件信息的阻断方法进行详细介绍。

实施例一

图1为本发明实施例一提供的敏感邮件信息的阻断方法的流程图。

参见图1，该方法应用于终端设备，该方法包括如下步骤：

步骤S102，获取用户发送的邮件信息。

进一步地，在设定的企业互联网出口处设置相应设备，当用户使用公司的互联网发送邮件时，邮件均会通过制定的数据传输线路，获取的邮件信息包括从内网发往外网和内网发送外网的邮件信息，其中，内网为通过局域网访问的网络，外网是可以使用外部网络访问。作为优选，对于加密邮件，可在邮件未加密之前对其邮件信息内容进行采集和解析，所以可对未加密邮件和加密邮件进行信息的采集和解析，具体地，该邮件可以通过Foxmail、QQ邮箱、网易邮箱或者新浪邮箱等邮箱发送。

步骤S104，将预设敏感规则信息与邮件信息进行对比。

具体地，预设敏感规则信息可由人工预先设定，该规则可以包括输入的机密文件信息的关键字和重要信息，可以预设黑名单包括公司竞争对手的邮箱或者是公司不让发送的收件人列表，具体的预设敏感规则是根据具体需求设定的规则，并不限于上述情况，还包括其他情况，然后将邮件信息进行解析分析与预设敏感规则信息进行对比。

进一步地，对解析后的邮件信息进行敏感识别，该技术为Windows API HOOK技术来进行敏感信息识别，其中，检测内容包括邮件信息的邮件主题信息、邮件正文信息、邮件附件信息、邮件标题信息和邮件的收件人信息等全访位的检测和识别。

步骤S106，判断邮件信息是否包含敏感信息。

如果识别到邮件信息的邮件主题信息、邮件正文信息、邮件附件信息、邮件标题信息和邮件的收件人信息一种或几种存在敏感信息，可以判定该邮件为敏感邮件。

步骤S108，如果邮件信息中包含敏感信息，阻断邮件信息的发送，并记录相应的阻断信息。

检测出邮件信息中包含敏感信息，立即阻断邮件的发送，记录相应的阻断信息，该阻断信息包括阻断邮件信息对应的硬件信息、用户信息、阻断时间和阻断信息内容中的一种或几种，将该阻断信息存储在本地缓存数据库中。

步骤S110，将阻断信息发送至服务器，以使服务器进行审计，得到邮件信息的审计结果。

服务器读取本地缓存数据库中的阻断信息，对阻断信息进行审计，由于阻断邮件内容时，无法确认是否为泄密邮件，有可能该邮件包含敏感文字信息而导致误操作，服务器将阻断信息审计后，得到审计结果，可判断该邮件是否为泄密邮件。

该服务器包括大数据服务器，大数据服务器是一台或多台计算机和数据库管理系统软件共同构成了数据库服务器，数据库服务器为客户应用提供服务，这些服务包括查询、更新、事务管理、索引、高速缓存、查询优化、安全及用户存取控制等。其中，大数据技术也称巨量资料，指的是所涉及的资料量规模巨大到无法通过目前主流软件工具，在合理时间内达到撷取、管理、处理、并整理成为帮助企业经营决策更积极目的的资讯。

步骤S112，接收服务器发送的审计结果。

步骤S114，根据审计结果，对邮件信息存在的风险进行预警。

根据审计结果，当判断出该邮件为泄密邮件时，对泄密邮件对应的终端进行IP封锁，切断其网络传输；当判断出该邮件为误判邮件时，告知用户邮件中包含的敏感信息，用户收到服务器发送的反馈信息后，对包含敏感信息的邮件做进一步确认，确认该邮件包含敏感信息后，可选择重新发送该邮件。

本发明实施例提供了敏感邮件信息的阻断方法，应用于终端设备，该方法包括：获取用户发送的邮件信息；将预设敏感规则信息与邮件信息进行对比，其中，预设敏感规则信息包括机密文件信息关键字和收件人黑名单；判断邮件信息是否包含敏感信息；如果邮件信息中包含敏感信息，阻断邮件信息的发送，并记录相应的阻断信息；将阻断信息发送至服务器，以使服务器进行审计，得到邮件信息的审计结果；接收服务器发送的审计结果；根据审计结果，对邮件信息存在的风险进行预警。通过对发送的邮件进行敏感信息的审计和预警，增加了重要邮件信息的安全性。

实施例二

图2为本发明实施例二提供的另一敏感邮件信息的阻断方法的流程图。

参见图2，图2是在图1的基础上实现的，重点描述对邮件信息包含敏感信息的处理，以及如何根据审计结果对邮件信息存在的风险进行预警；该方法包括如下步骤：

步骤S102，获取用户发送的邮件信息。

步骤S104，将预设敏感规则信息与邮件信息进行对比。

步骤S106，判断邮件信息是否包含敏感信息；如果是，执行步骤S108；如果否，执行步骤S202。

步骤S108，如果邮件信息中包含敏感信息，阻断邮件信息的发送，并记录相应的阻断信息。

步骤S202，如果邮件信息中不包含敏感信息，发送邮件信息。

具体地，由于该邮件是在未加密之前对邮件信息进行采集和分析，当判断出邮件信息中不包含敏感信息时，并可根据用户的加密或不加密要求对邮件信息进行加密或不加密发送。

步骤S110，将阻断信息发送至服务器，以使服务器进行审计，得到邮件信息的审计结果。

步骤S112，接收服务器发送的审计结果。

步骤S204，将审计结果与预设条件进行对比，来判断邮件信息是否存在风险；如果是，执行步骤S206；如果否，执行步骤S208。

该预设条件包括：当审计结果中显示邮件信息中哪些内容触发了设定敏感规则信息，有些邮件内容与敏感规则信息关键字相似，而不是泄密文件，导致判定为敏感邮件；还有需要向黑名单列表的人发送邮件，而发送的内容并不是泄密文件，也被判定为敏感邮件；实际上，这些为正常邮件内容，这些邮件需要重新发送。步骤S206，对邮件信息存在的风险进行预警。

步骤S208，重新发送邮件信息。

步骤S210，生成对应于邮件信息的日志信息，将日志信息存储在Redis中。

将步骤S202、步骤S206和步骤S208所对应的操作记录生成日志信息，将该日志信息存储在Redis存储系统中。其中，Redis是一个key-value存储系统。它支持存储的value类型相对更多，包括string(字符串)、list(链表)、set(集合)、zset(sorted set--有序集合)和hash(哈希类型)。这些数据类型都支持push/pop、add/remove及取交集并集和差集及更丰富的操作，而且这些操作都是原子性的。在此基础上，Redis支持各种不同方式的排序。为了保证效率，数据都是缓存在内存中。区别的是Redis会周期性的把更新的数据写入磁盘或者把修改操作写入追加的记录文件，并且在此基础上实现了master-slave(主从)同步。

步骤S212，将Redis中的日志信息存储在Elaticsearch集群中，并删除Redis中的日志信息。

具体地，ElasticSearch是一个基于Lucene的搜索服务器。它提供了一个分布式多用户能力的全文搜索引擎，基于RESTful web接口。Elasticsearch是用Java开发的，并作为Apache许可条款下的开放源码发布，是当前流行的企业级搜索引擎。设计用于云计算中，能够达到实时搜索，稳定，可靠，快速，安装使用方便。

本发明实施例提供的敏感邮件信息的阻断方法，该方法应用于员工的PC端不需要独立设备，可检测出包括从内网到外网的邮件，以及从内网到外网的邮件，在检测到邮件信息中存在敏感信息后，邮件信息不会流出本地，及时阻断邮件信息的发送；同时，在检测出员工发送敏感邮件后，可连同员工PC端的相关记录一同上报到服务器，以使服务器进行审计；支持对邮件客户端使用加密传输发送的邮件信息监控，所以可采集加密邮件信息和非加密邮件信息。

实施例三

图3为本发明实施例三提供的敏感邮件信息的阻断装置的结构示意图；图4为本发明实施例三提供的另一敏感邮件信息的阻断装置的结构示意图。

参见图3，该装置应用于终端设备，包括以下模块：

获取模块30，用于获取用户发送的邮件信息；

对比模块31，用于将预设敏感规则信息与邮件信息进行对比，其中，预设敏感规则信息包括机密文件信息关键字和收件人黑名单；

判断模块32，用于判断邮件信息是否包含敏感信息；

阻断模块33，用于如果邮件信息中包含敏感信息，阻断邮件信息的发送，并记录相应的阻断信息；

审计模块34，用于将阻断信息发送至服务器，以使服务器进行审计，得到邮件信息的审计结果；

接收模块35，用于接收服务器发送的审计结果；

预警模块36，用于根据审计结果，对邮件信息存在的风险进行预警。

上述预警模块还用于：将审计结果与预设条件进行对比，来判断邮件信息是否存在风险；如果存在风险，对邮件信息存在的风险进行预警。

参见图4，图4在图3的基础上实现，该装置还包括：

生成模块40，用于生成对应于邮件的发送日志，将发送日志存储在Redis中；

存储模块41，用于将Redis中的发送日志存储在Elasticsearch集群中，并删除Redis中的发送日志。

本发明实施例提供了敏感邮件信息的阻断装置，应用于终端设备，该方法包括：获取用户发送的邮件信息；将预设敏感规则信息与邮件信息进行对比，其中，预设敏感规则信息包括机密文件信息关键字和收件人黑名单；判断邮件信息是否包含敏感信息；如果邮件信息中包含敏感信息，阻断邮件信息的发送，并记录相应的阻断信息；将阻断信息发送至服务器，以使服务器进行审计，得到邮件信息的审计结果；接收服务器发送的审计结果；根据审计结果，对邮件信息存在的风险进行预警。通过对发送的邮件进行敏感信息的审计和预警，增加了重要邮件信息的安全性。

本发明实施例提供的敏感邮件信息的阻断装置，与上述实施例提供的敏感邮件信息的阻断方法具有相同的技术特征，所以也能解决相同的技术问题，达到相同的技术效果。

实施例四

图5为本发明实施例四提供的终端设备的结构示意图。

参见图5，本发明实施例还提供终端设备100，包括：处理器400，存储器401，总线402和通信接口403，处理器400、通信接口403和存储器401通过总线402连接；处理器400用于执行存储器401中存储的可执行模块，例如计算机程序。

其中，存储器401可能包含高速随机存取存储器(RAM，Random Access Memory)，也可能还包括非易失存储器(non-volatile memory)，例如至少一个磁盘存储器。通过至少一个通信接口403(可以是有线或者无线)实现该系统网元与至少一个其他网元之间的通信连接，可以使用互联网，广域网，本地网，城域网等。

总线402可以是ISA总线、PCI总线或EISA总线等。总线可以分为地址总线、数据总线、控制总线等。为便于表示，图5中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。

其中，存储器401用于存储程序，处理器400在接收到执行指令后，执行程序，前述本发明实施例任一实施例揭示的流过程定义的装置所执行的方法可以应用于处理器400中，或者由处理器400实现。

处理器400可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器400中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器400可以是通用处理器，包括中央处理器(Central Processing Unit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(DigitalSignal Processing，简称DSP)、专用集成电路(Application Specific IntegratedCircuit，简称ASIC)、现成可编程门阵列(Field-Programmable Gate Array，简称FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本发明实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器401，处理器400读取存储器401中的信息，结合其硬件完成上述方法的步骤。

本发明实施例所提供的进行敏感邮件信息的阻断方法和装置的计算机程序产品，包括存储了处理器可执行的非易失的程序代码的计算机可读存储介质，所述程序代码包括的指令可用于执行前面方法实施例中所述的方法，具体实现可参见方法实施例，在此不再赘述。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本发明所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个处理器可执行的非易失的计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上所述实施例，仅为本发明的具体实施方式，用以说明本发明的技术方案，而非对其限制，本发明的保护范围并不局限于此，尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (10)

1.一种敏感邮件信息的阻断方法，其特征在于，应用于终端设备，所述方法包括：

获取用户发送的邮件信息；

将预设敏感规则信息与所述邮件信息进行对比，其中，所述预设敏感规则信息包括机密文件信息关键字和收件人黑名单；

判断所述邮件信息是否包含敏感信息；

如果所述邮件信息中包含所述敏感信息，阻断所述邮件信息的发送，并记录相应的阻断信息；

将所述阻断信息发送至服务器，以使所述服务器进行审计，得到所述邮件信息的审计结果；

接收所述服务器发送的所述审计结果；

根据所述审计结果，对所述邮件信息存在的风险进行预警。

2.根据权利要求1所述的方法，其特征在于，所述根据所述审计结果，对所述邮件信息存在的风险进行预警，包括：

将所述审计结果与预设条件进行对比，来判断所述邮件信息是否存在风险；

如果存在风险，对所述邮件信息存在的风险进行预警。

3.根据权利要求1所述的方法，其特征在于，所述判断所述邮件信息是否包含敏感信息，还包括：

如果所述邮件信息中不包含所述敏感信息，发送所述邮件信息。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

生成对应于所述邮件信息的日志信息，将所述日志信息存储在Redis中；

将所述Redis中的所述日志信息存储在Elasticsearch集群中，并删除所述Redis中的所述日志信息。

5.根据权利要求1所述的方法，其特征在于，所述阻断信息包括阻断所述邮件信息对应的硬件信息、用户信息、阻断时间和阻断信息内容中的一种或几种。

6.根据权利要求1所述的方法，其特征在于，所述邮件信息包括加密邮件信息和未加密邮件信息。

7.一种敏感邮件信息的阻断装置，其特征在于，应用于终端设备，所述装置包括：

获取模块，用于获取用户发送的邮件信息；

对比模块，用于将预设敏感规则信息与所述邮件信息进行对比，其中，所述预设敏感规则信息包括机密文件信息关键字和收件人黑名单；

判断模块，用于判断所述邮件信息是否包含敏感信息；

阻断模块，用于如果所述邮件信息中包含所述敏感信息，阻断所述邮件信息的发送，并记录相应的阻断信息；

审计模块，用于将所述阻断信息发送至服务器，以使所述服务器进行审计，得到所述邮件信息的审计结果；

接收模块，用于接收所述服务器发送的所述审计结果；

预警模块，用于根据所述审计结果，对所述邮件信息存在的风险进行预警。

8.根据权利要求7所述的装置，其特征在于，所述预警模块还用于：

将所述审计结果与预设条件进行对比，来判断所述邮件信息是否存在风险；

如果存在风险，对所述邮件信息存在的风险进行预警。

9.根据权利要求7所述的装置，其特征在于，所述装置还包括：

生成模块，用于生成对应于所述邮件的发送日志，将所述发送日志存储在Redis中；

存储模块，用于将所述Redis中的所述发送日志存储在Elasticsearch集群中，并删除所述Redis中的所述发送日志。

10.根据权利要求7所述的装置，其特征在于，所述阻断信息包括阻断所述邮件信息对应的硬件信息、用户信息、阻断时间和阻断信息内容中的一种或几种。