CN110417643A - 邮件处理方法和装置 - Google Patents

Abstract

本申请涉及一种邮件处理方法和装置，计算机设备在接收到邮件时，提取邮件的第一邮件特征和第二邮件特征；第一邮件特征和第二邮件特征用于表征邮件是否为垃圾邮件；然后，在第一邮件特征满足预设的拦截条件时，将邮件的第二邮件特征确定为垃圾邮件特征，并拦截邮件；拦截条件包括至少一个垃圾邮件特征。采用上述方法可以在接收邮件的过程中不断扩充垃圾邮件特征，而不依赖于收集垃圾邮件样本，提升系统垃圾邮件拦截能力。

Description

邮件处理方法和装置

技术领域

本申请涉及信息采集领域，特别是涉及一种邮件处理方法和装置。

背景技术

伴随着互联网的发展，电子邮件给人们的工作生活带来了极大的便利，然而随之而来的垃圾邮件也给人们带来极大的烦恼，很多恶意垃圾邮件甚至给用户带来大量财产损失。反垃圾技术应运而生，例如可以通过设置黑白名单、关键词过滤、贝叶斯及机器学习等方式进行垃圾邮件的拦截。这些反垃圾拦截技术的关键点在于如何获得充分的垃圾邮件样本，然后根据样本来建立黑名单或者设定关键词等。

传统技术中，服务器主要通过用户举报和蜜罐邮箱来收集垃圾邮件样本，其中上述蜜罐邮箱是指邮件平台设置的用于收集垃圾邮件的邮箱，例如蜜罐邮箱一般不用于收发邮件，如果接收到了群发的邮件则认为该邮件可能是垃圾邮件；服务器在收集到垃圾邮件样本后，再对样本邮件进行分析，提取邮件特征添加到黑名单中。

但是，采用上述方法，对垃圾邮件样本的收集比较困难，导致垃圾邮件拦截效果差。

发明内容

基于此，有必要针对上述技术问题，提供一种邮件处理方法和装置。

一种邮件处理方法，上述方法包括：

在接收到邮件时，提取邮件的第一邮件特征和第二邮件特征；第一邮件特征和第二邮件特征用于表征邮件是否为垃圾邮件；

在第一邮件特征满足预设的拦截条件时，将邮件的第二邮件特征确定为垃圾邮件特征，并拦截邮件；拦截条件包括至少一个垃圾邮件特征。

在其中一个实施例中，上述第一邮件特征包括邮件的发信网络协议IP地址；拦截条件包括预设的地址黑名单；在第一邮件特征满足预设的拦截条件时，将邮件的第二邮件特征确定为垃圾邮件特征，包括：

确定IP地址是否在地址黑名单中；

若是，将第二邮件特征确定为垃圾邮件特征，并将第二邮件特征添加到预设的特征黑名单中。

在其中一个实施例中，上述第二邮件特征包括邮件的发信账号和邮件的邮件指纹中的至少一种；特征黑名单包括指纹黑名单和/或账号黑名单；将第二邮件特征添加到预设的特征黑名单中，包括：

若邮件指纹不在指纹黑名单中，将邮件指纹添加到指纹黑名单中；和/或，

若发信账号不在账号黑名单中，将发信账号添加到账号黑名单中。

在其中一个实施例中，上述确定IP地址是否在地址黑名单中之后，还包括：

若邮件的IP地址不在地址黑名单中，确定发信账号是否在账号黑名单中；

若是，则将邮件指纹添加到指纹黑名单中，并拦截邮件；

若否，则在邮件指纹在指纹黑名单中时，拦截邮件。

在其中一个实施例中，上述确定发信账号是否在账号黑名单中之后，还包括：

更新发信账号的第一统计信息；第一统计信息包括发信频率、发信IP地址以及被拦截邮件数中的至少一个。

在其中一个实施例中，上述方法还包括：

在邮件的发信账号不在账号黑名单中时，根据第一统计信息确定发信账号是否存在发信行为异常；

若是，将发信账号添加到账号黑名单中。

在其中一个实施例中，上述确定IP地址是否在预设的地址黑名单中之后，还包括：

更新IP地址的第二统计信息；第二统计信息包括发信频率、发信账号以及被拦截邮件数中至少一项。

在其中一个实施例中，上述方法还包括：

若邮件的IP地址不在地址黑名单中，根据第二统计信息确定IP地址是否存在发信行为异常；

若是，将IP地址添加到地址黑名单中。

在其中一个实施例中，上述根据第二统计信息确定IP地址是否发信行为异常，包括：

将第二统计信息输入预设的机器学习模型进行分析，确定IP地址是否发信行为异常。

一种邮件处理装置，上述装置包括：

提取模块，用于在接收到邮件时，提取邮件的第一邮件特征和第二邮件特征；第一邮件特征和第二邮件特征用于表征邮件是否为垃圾邮件；

确定模块，用于在第一邮件特征满足预设的拦截条件时，将第二邮件特征确定为垃圾邮件特征，并拦截邮件；拦截条件包括至少一个垃圾邮件特征。

一种计算机设备，包括存储器和处理器，存储器存储有计算机程序，上述处理器执行计算机程序时实现上述邮件处理方法的步骤。

一种计算机可读存储介质，其上存储有计算机程序，上述计算机程序被处理器执行时实现上述邮件处理方法的步骤。

上述邮件处理方法和装置，计算机设备在接收到邮件时，提取邮件的第一邮件特征和第二邮件特征；第一邮件特征和第二邮件特征用于表征邮件是否为垃圾邮件；然后，在第一邮件特征满足预设的拦截条件时，将邮件的第二邮件特征确定为垃圾邮件特征，并拦截邮件；拦截条件包括至少一个垃圾邮件特征。由于计算机设备提取了邮件的第一邮件特征和第二邮件特征，使得计算机设备在根据第一邮件特征确定该邮件为垃圾邮件时，自动将邮件的第二邮件特征确定为垃圾邮件特征，可以在接收邮件的过程中不断扩充垃圾邮件特征，而不依赖于收集垃圾邮件样本，提升系统垃圾邮件拦截能力。

附图说明

图1为一个实施例中邮件处理方法的应用环境图；

图2为一个实施例中邮件处理方法的流程示意图；

图3为另一个实施例中邮件处理方法的流程示意图；

图4为另一个实施例中邮件处理方法的流程示意图；

图5为另一个实施例中邮件处理方法的流程示意图；

图6为另一个实施例中邮件处理方法的流程示意图；

图7为另一个实施例中邮件处理方法的流程示意图；

图8为一个实施例中邮件处理装置的结构框图；

图9为另一个实施例中邮件处理装置的结构框图；

图10为另一个实施例中邮件处理装置的结构框图；

图11为另一个实施例中邮件处理装置的结构框图；

图12为另一个实施例中邮件处理装置的结构框图；

图13为一个实施例中计算机设备的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本申请提供的邮件处理方法，可以应用于如图1所示的应用环境中。其中，计算机设备100对接收到的邮件进行处理，计算机设备100可以用独立的服务器或者是多个服务器组成的服务器集群来实现。

在一个实施例中，如图2所示，提供了一种邮件处理方法，以该方法应用于图1中的计算机设备为例进行说明，包括：

S101、在接收到邮件时，提取上述邮件的第一邮件特征和第二邮件特征；上述第一邮件特征和第二邮件特征用于表征上述邮件是否为垃圾邮件。

电子邮件是较常用的网络应用之一，已经成为网络交流沟通的重要途径；垃圾邮件随着互联网的不断发展而大量增长，用户常常接收到不愿意接收的邮件，例如包含商业广告、恶意诈骗等内容的邮件，以及包含电脑病毒的邮件。大量的垃圾邮件导致用户需要花费大量时间去处理，并且占用了系统资源；另外，垃圾邮件也带来了很多的安全问题，例如垃圾邮件成为计算机病毒的快速传。

上述第一邮件特征和第二邮件特征用于表征上述邮件是否为垃圾邮件的邮件特征，上述邮件特征可以是邮件的关键字，例如商业邮件中出现的关键词“合同”等，若邮件中包含“待开发票”“test”等关键词时，可以认为该邮件是垃圾邮件；还可以是邮件的形成规则，例如根据邮件中包含的单词、词组、单词位置、邮件大小、附件等形成一条描述该邮件的特征规则；另外，上述邮件特征还可以是邮件的HASH值，例如将邮件的内容、发件人等作为参数，计算得出这个邮件的HASH值来描述这个邮件，如果HASH值相同，那么说明邮件内容、发件人等相同，如果出现重复的HASH值，那么就可以怀疑是大批量发送的垃圾邮件；对于上述第一邮件特征和第二邮件特征的类型在此不做限定。

计算机设备在提取邮件的第一邮件特征和第二邮件特征时，可以针对不同的邮件特征采取不同的提取方式，例如，当邮件特征为邮件的关键字时，可以通过字符串相似度计算获得关键字，还可以对提取的关键字进行拆分或合并；对于邮件特征为邮件的IP地址时，可以通过查找邮件属性的方法来提取IP地址；对于上述邮件特征的提取方式在此不做限定。

另外，上述第一邮件特征中可以包含一个邮件特征，也可以包含多个邮件特征；同样地，上述第二邮件特征中可以包含一个邮件特征，也可以包含多个邮件特征，在此不做限定。

S102、在上述第一邮件特征满足预设的拦截条件时，将上述邮件的第二邮件特征确定为垃圾邮件特征，并拦截上述邮件；上述拦截条件包括至少一个垃圾邮件特征。

上述拦截条件可以是邮件的关键词与预设的垃圾邮件关键词相同，也可以是邮件的HASH值与预设的垃圾邮件的HASH值相同；还可以是通过评分系统过滤器对邮件进行处理获得的分数大于预设分数阈值，对于上述满足拦截条件的具体方式在此不做限定。

上述拦截条件中可以包括与第一邮件特征匹配的垃圾邮件特征，也可以包括与第二邮件特征匹配的垃圾邮件特征。上述拦截邮件可以对用户举报、蜜罐邮箱等方式获得的垃圾邮件进行特征提取获得的。

当第一邮件特征满足预设的拦截条件时，计算机设备可以认为该邮件为垃圾邮件；然后计算机设备可以将邮件的第二邮件特征也确定为垃圾邮件特征，可以根据上述垃圾邮件特征更新拦截条件，便于拦截携带第二邮件特征的其它邮件。例如，计算机设备提取1号邮件的第一邮件特征为特征A，第二邮件特征为特征B；根据当前拦截条件特征A为垃圾邮件特征，也就是说1号邮件为垃圾邮件，那么可以认为1号邮件的特征B也是垃圾邮件特征，也就是说可以通过拦截条件对特征B的邮件进行拦截；当计算机设备从2号邮件中提取到特征B时，即可对2号邮件进行拦截。

上述邮件处理方法，计算机设备在接收到邮件时，提取邮件的第一邮件特征和第二邮件特征；第一邮件特征和第二邮件特征用于表征邮件是否为垃圾邮件；然后，在第一邮件特征满足预设的拦截条件时，将邮件的第二邮件特征确定为垃圾邮件特征，并拦截邮件；拦截条件包括至少一个垃圾邮件特征。由于计算机设备提取了邮件的第一邮件特征和第二邮件特征，使得计算机设备在根据第一邮件特征确定该邮件为垃圾邮件时，自动将邮件的第二邮件特征确定为垃圾邮件特征，可以在接收邮件的过程中不断扩充垃圾邮件特征，而不依赖于收集垃圾邮件样本，提升系统垃圾邮件拦截能力。

图3为另一个实施例中邮件处理方法的流程示意图，本实施例涉及计算机设备将邮件的第二邮件特征确定为垃圾邮件特征的方式，上述第一邮件特征包括上述邮件的发信网络协议IP地址；上述拦截条件包括预设的地址黑名单；在上述实施例的基础上，如图3所示，上述S102包括：

S201、确定上述IP地址是否在上述地址黑名单中。

具体地，上述第一邮件特征可以是邮件的IP地址，计算机设备在确定邮件的IP地址是否满足预设的拦截条件时，可以获取地址黑名单，确定上述IP地址是否在地址黑名单中。

上述地址黑名单可以是计算机设备中已存储的名单，也可以不断被更新。由于垃圾邮件一般具有群发特征，也就是说一般情况下一个IP地址在短时间内发送大量的邮件时，可能认为该IP地址在发送垃圾邮件，并将该IP地址加入地址黑名单中。

上述地址黑名单中可以包含多个发送垃圾邮件的IP地址，也可以包括发送垃圾邮件的IP地址所在的网段，在此不做限定。

计算机设备在确定上述IP地址是否在地址黑名单中时，可以将上述邮件的IP地址与地址黑名单中的各个IP地址进行比较，单上述邮件的IP地址与地址黑名单中的其中一个IP地址相同时，可以确定上述邮件的IP地址在地址黑名单中；另外，计算机设备还可以确定上述邮件的IP地址是否包含在地址黑名单中的各个IP地址网段中，若是则确定该邮件的IP地址在地址黑名单中；对于上述确定方式在此不做限定。

S202、若是，将上述第二邮件特征确定为垃圾邮件特征，并将上述第二邮件特征添加到预设的特征黑名单中。

在计算机设备确定邮件的IP地址在地址黑名单之后，也就是说计算机设备确定该IP地址满足预设的拦截条件，可以认为该IP地址发送的邮件均为垃圾邮件，因此可以将接收到的邮件的第二特征也确定为垃圾邮件特征，并将第二邮件特征添加到预设的特征黑名单中。

具体地，上述第二邮件特征可以包括上述邮件的发信账号和上述邮件的邮件指纹中的至少一种；其中，计算机设备可以在接收到的邮件中直接获取该邮件时由哪一个账号发送的。上述邮件指纹是指通过指纹提取技术为邮件增加的报头信息，该报头信息中包含独特的签名信息，该签名信息是通过加密算法基于电子邮件用户身份的特有识别信息以及邮件的时间识别信息等生成的。由于垃圾邮件一般是重复大量发送的，也就是说多个垃圾邮件的指纹应该具有相似的特征，因此计算机设备可以根据邮件指纹来确定该邮件是不是垃圾邮件。

计算机设备在将上述邮件的发信账号添加到账号黑名单中时，可以先确定上述账号是否在账号黑名单中，如果是则不需要重复添加；如果上述账号不在账号黑名单中，那么可以更新账号黑名单，将该账号添加到账号黑名单中，以便拦截上述账号发送的邮件。

类似的，计算机设备在将上述邮件的邮件指纹添加到指纹黑名单中时，可以先确定上述邮件指纹是否在指纹黑名单中，如果是则不需要重复添加；如果上述邮件指纹不在指纹黑名单中，那么可以更新指纹黑名单，将该邮件指纹添加到账号黑名单中，以便拦截上述账号发送的邮件。

具体地，计算机设备可以获取上述邮件的邮件指纹与指纹黑名单中的邮件指纹之间的海明距离，根据海明距离的值来判断上述邮件的邮件指纹与指纹黑名单中的邮件指纹是否相似，若相似则认为该邮件的邮件指纹在指纹黑名单中。

上述邮件处理方法，计算机设备在接收到邮件时，当邮件的IP地址在地址黑名单的情况下，将邮件的第二邮件特征添加到特征黑名单中，可以根据地址黑名单扩充特征黑名单中的垃圾邮件特征，提升系统垃圾邮件拦截能力。

图4为另一个实施例中邮件处理方法的流程示意图，本实施例涉及计算机设备在IP地址不在地址黑名单中的处理方式，在上述实施例的基础上，上述S201之后，还包括：

S301、若上述邮件的IP地址不在上述地址黑名单中，确定上述发信账号是否在上述账号黑名单中。

计算机设备在确定上述IP地址不在地址黑名单中之后，可以进一步确定该邮件的发信账号是否在账号黑名单中。

进一步地，计算机设备在确定上述发信账号是否在上述账号黑名单中之后，可以更新上述发信账号的第一统计信息；上述第一统计信息包括发信频率、发信IP地址以及被拦截邮件数中的至少一个。

例如，计算机在确定上述发信账号是否在账号黑名单之后，可以将该发信账号被拦截的邮件数或者未被拦截的邮件数加1，并更新该发信账号的发信频率；还可以统计该发信账号所使用的发信IP地址，以确定该发信账号是否频繁更换IP地址发送邮件。更新上述第一统计信息之后，可以使计算机设备更加了解该发信账号的发信行为。

另外，计算机设备还可以在确定上述IP地址是否在预设的地址黑名单中之后，更新上述IP地址的第二统计信息；上述第二统计信息包括发信频率、发信账号以及被拦截邮件数中至少一项。计算机设备可以根据上述IP地址的第二统计信息了解该IP地址的发信行为，例如可以在该IP地址的被拦截邮件数或未被拦截邮件数加1，更新该IP地址的发信频率；还可以更新使用该IP地址发送邮件的发信账号，以确定是否出现较多发信账号通过同一个IP地址发送邮件的行为。

S302、若是，则将上述邮件指纹添加到上述指纹黑名单中，并拦截上述邮件。

具体地，若该邮件的发信账号在账号黑名单中，那么计算机设备认为该发信账号所发送的邮件均为垃圾邮件，可以将该邮件的邮件指纹添加到指纹黑名单中，然后拦截该邮件。

S303、若否，则在上述邮件指纹在上述指纹黑名单中时，拦截上述邮件。

具体地，若上述邮件的发信账号不在账号黑名单中，那么计算机设备可以进一步判断该邮件的邮件指纹是否在指纹黑名单中，若是则拦截上述邮件。若该邮件的邮件指纹不在指纹黑名单中，那么计算机设备可以接收该邮件，也可以结合其它方法继续判定该邮件是否为垃圾邮件，在此不做限定。

上述邮件处理方法，计算机设备在邮件的IP地址不在黑名单的情况下，进一步确定邮件的发信账号以及邮件指纹是否在对应的黑名单中，从而能够更有效地拦截邮件。

图5为另一个实施例中邮件处理方法的流程示意图，本实施例涉及计算机设备在发信账号不在账号黑名单中的处理方式，在上述实施例的基础上，上述S301之后，还包括：

S401、在上述邮件的上述发信账号不在上述账号黑名单中时，根据上述第一统计信息确定上述发信账号是否存在发信行为异常。

当计算机设备确定上述邮件的上述发信账号不在账号黑名单中时，计算机设备可以根据第一统计信息对发信账号的发信行为进行分析，来确定该账号是否存在发信行为异常。在分析发信行为时，计算机设备可以根据第一统计信息中的其中一个参数来分析，例如分析发信账号的发信频率，也可以结合发信频率、使用的IP地址等多个参数共同确定是否存在发信行为异常，在此不做限定。

例如，计算机设备可以根据第一统计信息，确定该发信账号的发信频率大于预设频率阈值时，认为该发信账号发信过于频繁，可能是发送垃圾邮件；另外，计算机设备还可以根据机器学习模型对第一统计信息中的参数进行分析，获得发信行为异常结果，对于上述分析方式在此不做限定。

S402、若是，将上述发信账号添加到上述地址黑名单中。

计算机设备在确定该发信账号的发信行为异常时，可以将上述发信账号加入地址黑名单中，然后拦截该邮件。若该发信账号的发信行为正常，计算机设备可以接收该邮件，也可以根据其它的特征分析来确定是否拦截该邮件。

上述邮件处理方法，计算机设备在发信账号不在黑名单的情况下，通过对该发信账号的发信行为进行分析来确定是否将该发信账号加入黑名单中，进一步增加了账号黑名单中的发信账号，从而更有效地拦截垃圾邮件。

图6为另一个实施例中邮件处理方法的流程示意图，本实施例涉及计算机设备在IP地址不在地址黑名单中的处理方式，在上述实施例的基础上，上述S201之后，还包括：

S501、若上述邮件的上述IP地址不在上述地址黑名单中，根据上述第二统计信息确定上述IP地址是否存在发信行为异常。

当计算机设备确定上述邮件的上述IP地址不在地址黑名单中时，计算机设备可以根据第二统计信息对IP地址的发信行为进行分析，来确定该IP地址是否存在发信行为异常。在分析发信行为时，计算机设备可以根据第二统计信息中的其中一个参数来分析，例如分析IP地址的发信频率，也可以结合发信频率、使用的发信账号等多个参数共同确定是否存在发信行为异常，在此不做限定。

例如，计算机设备可以根据第二统计信息，确定该IP地址的发信频率大于预设频率阈值时，认为该IP地址发信过于频繁，可能是发送垃圾邮件；另外，计算机设备还可以将上述第二统计信息输入预设的机器学习模型进行分析，确定上述IP地址是否发信行为异常，对于上述分析方式在此不做限定。

S502、若是，将上述IP地址添加到上述地址黑名单中。

计算机设备在确定该IP地址的发信行为异常时，可以将上述IP地址加入地址黑名单中，然后拦截该邮件。若该IP地址的发信行为正常，计算机设备可以接收该邮件，也可以根据其它的特征分析来确定是否拦截该邮件，例如继续判断该邮件的发信账号是否发信行为异常。

上述邮件处理方法，计算机设备在IP地址不在黑名单的情况下，通过对该IP地址的发信行为进行分析来确定是否将该IP地址加入黑名单中，进一步扩充了地址黑名单中的IP地址，从而更有效地拦截垃圾邮件。

图7为另一个实施例中邮件处理方法的流程示意图，本实施例提供一个完整的邮件处理流程，在上述实施例的基础上，上述邮件处理方法包括：

S601、在接收到邮件时，提取邮件的IP地址、发信账号和邮件指纹；

S602、确定IP地址是否在地址黑名单中，并执行S603；若是，则执行S604，若否则执行S608、S610；

S603、更新IP地址的第二统计信息；

S604、确定邮件指纹是否在指纹黑名单中，若是，则执行S606，若否，则执行S605；

S605、将邮件指纹添加到指纹黑名单中；然后执行S606；

S606；确定发信账号是否在账号黑名单中，若是，则执行S617，若否，则执行S607；

S607、将发信账号添加到账号黑名单中，然后执行S617；

S608、根据第二统计信息确定IP地址是否存在发信行为异常；若是，则执行S609；

S609、将IP地址添加到地址黑名单中，然后执行S617；

S610、确定发信账号是否在账号黑名单中，并执行S611；若是，执行S612，若否，执行S614、S616；

S611、更新发信账号的第一统计信息；

S612、确定邮件指纹是否在指纹黑名单中；若是，则执行S617，若否，则执行S613；

S613、将邮件指纹添加到指纹黑名单中；

S614、根据第一统计信息确定发信账号是否存在发信行为异常；若是，则执行S615；

S615、将发信账号添加到账号黑名单中；然后执行S617；

S616、确定邮件指纹是否在指纹黑名单中；若是，则执行S617；

S617、拦截邮件。

上述邮件处理方法的工作原理和实施效果与上述实施例类似，在此不再赘述。

应该理解的是，虽然图2-7的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图2-7中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些子步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

在一个实施例中，如图8所示，提供了一种邮件处理装置，包括：提取模块10和确定模块20，其中：

提取模块10，用于在接收到邮件时，提取邮件的第一邮件特征和第二邮件特征；第一邮件特征和第二邮件特征用于表征邮件是否为垃圾邮件；

确定模块20，用于在第一邮件特征满足预设的拦截条件时，将第二邮件特征确定为垃圾邮件特征，并拦截邮件；拦截条件包括至少一个垃圾邮件特征。

本申请实施例提供的邮件处理装置，可以实现上述方法实施例，其实现原理和技术效果类似，在此不再赘述。

在一个实施例中，在上述实施例的基础上，第一邮件特征包括邮件的发信网络协议IP地址；拦截条件包括预设的地址黑名单；如图9所示，上述确定模块20包括：

第一确定单元201，用于确定IP地址是否在地址黑名单中；

第一添加单元202，用于在IP地址不在地址黑名单中时，将第二邮件特征确定为垃圾邮件特征，并将第二邮件特征添加到预设的特征黑名单中。

在一个实施例中，在上述实施例的基础上，第二邮件特征包括邮件的发信账号和邮件的邮件指纹中的至少一种；特征黑名单包括指纹黑名单和/或账号黑名单；上述第一添加单元202具体用于：在邮件指纹不在指纹黑名单中时，将邮件指纹添加到指纹黑名单中；和/或，在发信账号不在账号黑名单中时，将发信账号添加到账号黑名单中。

在一个实施例中，在上述实施例的基础上，如图10所示，上述确定模块20还包括第二确定单元203、第二添加单元204和拦截单元205；

第二确定单元203，用于在邮件的IP地址不在地址黑名单中时，确定发信账号是否在账号黑名单中；

第二添加单元204，用于发信账号在账号黑名单中时，将邮件指纹添加到指纹黑名单中，并拦截邮件；

拦截单元205，用于发信账号不在账号黑名单中，邮件指纹在指纹黑名单中时，拦截邮件。

在一个实施例中，在上述实施例的基础上，如图11所示，上述确定模块20还包括更新单元206，用于更新发信账号的第一统计信息；第一统计信息包括发信频率、发信IP地址以及被拦截邮件数中的至少一个。

在一个实施例中，在上述实施例的基础上，如图12所示，上述装置还包括添加模块30，用于在邮件的发信账号不在账号黑名单中时，根据第一统计信息确定发信账号是否存在发信行为异常；在发信行为异常时，将发信账号添加到地址黑名单中。

在一个实施例中，在上述实施例的基础上，上述更新单元206还用于：更新IP地址的第二统计信息；第二统计信息包括发信频率、发信账号以及被拦截邮件数中至少一项。

在一个实施例中，在上述实施例的基础上，上述添加模块30还用于：在邮件的IP地址不在地址黑名单中时，根据第二统计信息确定IP地址是否存在发信行为异常；在IP地址存在发信行为异常时，将IP地址添加到地址黑名单中。

在一个实施例中，在上述实施例的基础上，上述添加模块30具体用于：将第二统计信息输入预设的机器学习模型进行分析，确定IP地址是否发信行为异常。

本申请实施例提供的邮件处理装置，可以实现上述方法实施例，其实现原理和技术效果类似，在此不再赘述。

关于邮件处理装置的具体限定可以参见上文中对于邮件处理方法的限定，在此不再赘述。上述邮件处理装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是服务器，其内部结构图可以如图13所示。该计算机设备包括通过系统总线连接的处理器、存储器、网络接口和数据库。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统、计算机程序和数据库。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的数据库用于存储邮件处理数据。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种邮件处理方法。

本领域技术人员可以理解，图13中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现以下步骤：

在接收到邮件时，提取邮件的第一邮件特征和第二邮件特征；第一邮件特征和第二邮件特征用于表征邮件是否为垃圾邮件；

在第一邮件特征满足预设的拦截条件时，将邮件的第二邮件特征确定为垃圾邮件特征，并拦截邮件；拦截条件包括至少一个垃圾邮件特征。

在一个实施例中，第一邮件特征包括邮件的发信网络协议IP地址；拦截条件包括预设的地址黑名单；处理器执行计算机程序时还实现以下步骤：确定IP地址是否在地址黑名单中；若是，将第二邮件特征确定为垃圾邮件特征，并将第二邮件特征添加到预设的特征黑名单中。

在一个实施例中，第二邮件特征包括邮件的发信账号和邮件的邮件指纹中的至少一种；特征黑名单包括指纹黑名单和/或账号黑名单；处理器执行计算机程序时还实现以下步骤：若邮件指纹不在指纹黑名单中，将邮件指纹添加到指纹黑名单中；和/或，若发信账号不在账号黑名单中，将发信账号添加到账号黑名单中。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：若邮件的IP地址不在地址黑名单中，确定发信账号是否在账号黑名单中；若是，则将邮件指纹添加到指纹黑名单中，并拦截邮件；若否，则在邮件指纹在指纹黑名单中时，拦截邮件。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：更新发信账号的第一统计信息；第一统计信息包括发信频率、发信IP地址以及被拦截邮件数中的至少一个。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：在邮件的发信账号不在账号黑名单中时，根据第一统计信息确定发信账号是否存在发信行为异常；若是，将发信账号添加到地址黑名单中。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：更新IP地址的第二统计信息；第二统计信息包括发信频率、发信账号以及被拦截邮件数中至少一项。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：若邮件的IP地址不在地址黑名单中，根据第二统计信息确定IP地址是否存在发信行为异常；若是，将IP地址添加到地址黑名单中。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：将第二统计信息输入预设的机器学习模型进行分析，确定IP地址是否发信行为异常。

本实施例提供的计算机设备，其实现原理和技术效果与上述方法实施例类似，在此不再赘述。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现以下步骤：

在接收到邮件时，提取邮件的第一邮件特征和第二邮件特征；第一邮件特征和第二邮件特征用于表征邮件是否为垃圾邮件；

在第一邮件特征满足预设的拦截条件时，将邮件的第二邮件特征确定为垃圾邮件特征，并拦截邮件；拦截条件包括至少一个垃圾邮件特征。

在一个实施例中，第一邮件特征包括邮件的发信网络协议IP地址；拦截条件包括预设的地址黑名单；计算机程序被处理器执行时还实现以下步骤：确定IP地址是否在地址黑名单中；若是，将第二邮件特征确定为垃圾邮件特征，并将第二邮件特征添加到预设的特征黑名单中。

在一个实施例中，第二邮件特征包括邮件的发信账号和邮件的邮件指纹中的至少一种；特征黑名单包括指纹黑名单和/或账号黑名单；计算机程序被处理器执行时还实现以下步骤：若邮件指纹不在指纹黑名单中，将邮件指纹添加到指纹黑名单中；和/或，若发信账号不在账号黑名单中，将发信账号添加到账号黑名单中。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：若邮件的IP地址不在地址黑名单中，确定发信账号是否在账号黑名单中；若是，则将邮件指纹添加到指纹黑名单中，并拦截邮件；若否，则在邮件指纹在指纹黑名单中时，拦截邮件。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：更新发信账号的第一统计信息；第一统计信息包括发信频率、发信IP地址以及被拦截邮件数中的至少一个。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：在邮件的发信账号不在账号黑名单中时，根据第一统计信息确定发信账号是否存在发信行为异常；若是，将发信账号添加到地址黑名单中。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：更新IP地址的第二统计信息；第二统计信息包括发信频率、发信账号以及被拦截邮件数中至少一项。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：若邮件的IP地址不在地址黑名单中，根据第二统计信息确定IP地址是否存在发信行为异常；若是，将IP地址添加到地址黑名单中。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：将第二统计信息输入预设的机器学习模型进行分析，确定IP地址是否发信行为异常。

本实施例提供的计算机可读存储介质，其实现原理和技术效果与上述方法实施例类似，在此不再赘述。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦除可编程ROM(EEPROM)或闪存。易失性存储器可包括随机存取存储器(RAM)或者外部高速缓冲存储器。作为说明而非局限，RAM以多种形式可得，诸如静态RAM(SRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双数据率SDRAM(DDRSDRAM)、增强型SDRAM(ESDRAM)、同步链路(Synchlink)DRAM(SLDRAM)、存储器总线(Rambus)直接RAM(RDRAM)、直接存储器总线动态RAM(DRDRAM)、以及存储器总线动态RAM(RDRAM)等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种邮件处理方法，其特征在于，所述方法包括：

在接收到邮件时，提取所述邮件的第一邮件特征和第二邮件特征；所述第一邮件特征和第二邮件特征用于表征所述邮件是否为垃圾邮件；

在所述第一邮件特征满足预设的拦截条件时，将所述邮件的第二邮件特征确定为垃圾邮件特征，并拦截所述邮件；所述拦截条件包括至少一个垃圾邮件特征。

2.根据权利要求1所述的方法，其特征在于，所述第一邮件特征包括所述邮件的发信网络协议IP地址；所述拦截条件包括预设的地址黑名单；所述在所述第一邮件特征满足预设的拦截条件时，将所述邮件的第二邮件特征确定为垃圾邮件特征，包括：

确定所述IP地址是否在所述地址黑名单中；

若是，将所述第二邮件特征确定为垃圾邮件特征，并将所述第二邮件特征添加到预设的特征黑名单中。

3.根据权利要求2所述的方法，其特征在于，所述第二邮件特征包括所述邮件的发信账号和所述邮件的邮件指纹中的至少一种；所述特征黑名单包括指纹黑名单和/或账号黑名单；所述将所述第二邮件特征添加到预设的特征黑名单中，包括：

若所述邮件指纹不在所述指纹黑名单中，将所述邮件指纹添加到所述指纹黑名单中；和/或，

若所述发信账号不在所述账号黑名单中，将所述发信账号添加到所述账号黑名单中。

4.根据权利要求3所述的方法，其特征在于，所述确定所述IP地址是否在所述地址黑名单中之后，还包括：

若所述邮件的IP地址不在所述地址黑名单中，确定所述发信账号是否在所述账号黑名单中；

若是，则将所述邮件指纹添加到所述指纹黑名单中，并拦截所述邮件；

若否，则在所述邮件指纹在所述指纹黑名单中时，拦截所述邮件。

5.根据权利要求4所述的方法，其特征在于，所述确定所述发信账号是否在所述账号黑名单中之后，还包括：

更新所述发信账号的第一统计信息；所述第一统计信息包括发信频率、发信IP地址以及被拦截邮件数中的至少一个。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

在所述邮件的所述发信账号不在所述账号黑名单中时，根据所述第一统计信息确定所述发信账号是否存在发信行为异常；

若是，将所述发信账号添加到所述账号黑名单中。

7.根据权利要求2-6任一项所述的方法，其特征在于，所述确定所述IP地址是否在预设的地址黑名单中之后，还包括：

更新所述IP地址的第二统计信息；所述第二统计信息包括发信频率、发信账号以及被拦截邮件数中至少一项。

8.根据权利要求7所述的方法，其特征在于，所述方法还包括：

若所述邮件的所述IP地址不在所述地址黑名单中，根据所述第二统计信息确定所述IP地址是否存在发信行为异常；

若是，将所述IP地址添加到所述地址黑名单中。

9.根据权利要求8所述的方法，其特征在于，所述根据所述第二统计信息确定所述IP地址是否发信行为异常，包括：

将所述第二统计信息输入预设的机器学习模型进行分析，确定所述IP地址是否发信行为异常。

10.一种邮件处理装置，其特征在于，所述装置包括：

提取模块，用于在接收到邮件时，提取所述邮件的第一邮件特征和第二邮件特征；所述第一邮件特征和第二邮件特征用于表征所述邮件是否为垃圾邮件；

确定模块，用于在所述第一邮件特征满足预设的拦截条件时，将所述第二邮件特征确定为垃圾邮件特征，并拦截所述邮件；所述拦截条件包括至少一个垃圾邮件特征。