CN110474837A - 一种垃圾邮件处理方法、装置、电子设备及存储介质 - Google Patents

Abstract

一种垃圾邮件处理方法，包括：S1，判断邮件中是否包含社工口令，S2，当邮件中包含社工口令时，判定邮件为垃圾邮件，S3，将垃圾邮件进行隔离、阻断、丢弃、删除或标记处理，以及，将垃圾邮件的域名加入黑名单中。本发明还提供了一种垃圾邮件处理装置、电子设备及计算机存储介质。本发明用于快速辨别垃圾邮件，并对垃圾邮件进行处置，减小用户掉进钓鱼陷阱的概率。

Description

一种垃圾邮件处理方法、装置、电子设备及存储介质

技术领域

本公开涉及计算机应用技术领域，尤其涉及一种垃圾邮件处理方法、装置、电子设备及存储介质。

背景技术

社会工程学是一种通过人际交流的方式获得信息的非技术渗透手段。随着计算机网络日益发达，网络钓鱼事件出现的愈加频繁。黑客利用社会工程学，通过向用户发送各种欺骗性的垃圾邮件，诱使用户给出敏感信息(如用户名、口令、帐号ID、ATM PI或信用卡详细信息等)。最典型的网络钓鱼攻击方式是将用户引诱到钓鱼网站上，诱导用户在此网站上输入的个人敏感信息，它是“社会工程攻击”的一种形式。

为了保证用户的利益，需要针对各类网络钓鱼事件的社会工程学攻击手段对垃圾邮件进行处理。

发明内容

(一)要解决的技术问题

本公开提出一种垃圾邮件处理方法、装置、电子设备及存储介质，用于快速辨别垃圾邮件，并对垃圾邮件进行处置，减小用户掉进钓鱼陷阱的概率。

(二)技术方案

本公开一方面提供了一种垃圾邮件处理方法，包括：S1，判断邮件中是否包含社工口令；S2，当所述邮件中包含社工口令时，判定所述邮件为垃圾邮件；S3，将所述垃圾邮件进行隔离、阻断、丢弃、删除或标记处理，以及，将所述垃圾邮件的域名加入黑名单中。

可选地，在步骤S1之前，方法还包括：查询所述邮件的域名是否存在于所述黑名单中；

若所述邮件的域名不存在于所述黑名单中，判定所述邮件的地址来源是否合法；若所述邮件的地址来源合法，则执行步骤S1；若所述邮件不合法，则屏蔽所述邮件。

可选地，所述判定所述邮件的地址来源是否合法包括：通过发送方策略架构，查验所述邮件的地址是否存在于所述发送方策略架构的地址记录中；若所述邮件的地址存在于所述发送方策略架构的地址记录中，则所述邮件的地址来源合法；若所述发送方策略架构的地址记录中不包含所述邮件的地址，则所述邮件不合法。

可选地，若所述邮件的域名存在于所述黑名单中，则屏蔽所述邮件。

可选地，所述社工口令为基于社会工程学的、具有诱导作用的欺骗性指令。

可选地，当所述邮件中不包含社工口令时，判定所述邮件为正常邮件，接收所述邮件。

可选地，将所述垃圾邮件的域名加入黑名单中之后，方法还包括：基于所述垃圾邮件的域名，通过密网技术，将可能产生垃圾邮件的域名加入所述黑名单中。

本公开另一方面提供了一种垃圾邮件处理装置，包括：第一处理模块，用于判断邮件中是否包含社工口令；第二处理模块，用于当所述邮件中包含社工口令时，判定所述邮件为垃圾邮件；第三处理模块，用于将所述垃圾邮件进行隔离、阻断、丢弃、删除或标记处理，将所述垃圾邮件的域名加入黑名单中。

本公开另一方面提供了一种电子设备，包括：存储器，处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时，实现第一方面的任一项所述一种垃圾邮件处理方法中的各个步骤。

本公开另一方面提供了一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时，实现第一方面中的任一项所述一种垃圾邮件处理方法中的各个步骤。

(三)有益效果

在本公开实施例采用的上述至少一个技术方案能够达到以下有益效果：

本公开提供了一种垃圾邮件处理方法、装置、电子设备及存储介质，使邮件系统通过判断邮件中是否包含社交口令识别垃圾邮件，并将垃圾邮件的域名加入黑名单，可在下次接收到同样域名的垃圾邮件时直接屏蔽该垃圾邮件，该方法使得邮件系统能在复杂得社工环境中快速得识别垃圾邮件，并对垃圾邮件进行快速处理，有效避免用户掉入钓鱼陷阱。

附图说明

图1示意性示出了本公开实施例提供的一种垃圾邮件处理方法的流程图；

图2示意性示本公开实施例提供的一种垃圾邮件处理装置的结构框图；

图3示意性示出了本公开实施例提供的一种电子设备的结构框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

附图中示出了一些方框图和/或流程图。应理解，方框图和/或流程图中的一些方框或其组合可以由计算机程序指令来实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，从而这些指令在由该处理器执行时可以创建用于实现这些方框图和/或流程图中所说明的功能/操作的装置。

因此，本公开的技术可以硬件和/或软件(包括固件、微代码等)的形式来实现。另外，本公开的技术可以采取存储有指令的计算机可读介质上的计算机程序产品的形式，该计算机程序产品可供指令执行系统使用或者结合指令执行系统使用。在本公开的上下文中，计算机可读介质可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，计算机可读介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。计算机可读介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。

图1示意性示出了本公开实施例提供的一种垃圾邮件处理方法的流程图。

如图1所示，本公开实施例提供的一种垃圾邮件处理方法的流程包括以下步骤。

S1，判断邮件中是否包含社工口令。

社工口令为基于社会工程学的、具有诱导作用的欺骗性指令。

基于社工口令的钓鱼垃圾邮件泛用的术语包括：“确认您的账户”、“您赢得了抽奖”、“如果您不在48小时内回复，您的帐户将被关闭”、“邮件系统更新，请提供账户信息”等。在日常生活中，黑客通过在钓鱼邮件中添加社工口令，欺骗收件人将账号、口令等信息回复给指定的接收者；或引导收件人连接到特制的网页，这些网页通常会伪装成和真实网站一样，如银行或理财的网页，令登录者信以为真，输入信用卡或银行卡号码、账户名称及密码等，从而盗取用户的相关信息。

在本实施方式中，当邮件系统收到邮件后，判断邮件中是否包含上述类似的社工口令，通过初步判断邮件是否包含社交口令判别该邮件是否为垃圾邮件。

在步骤S1之前，邮件系统首先对邮件进行预判断，可以包括以下步骤。

查询所述邮件的域名是否存在于黑名单中。

若邮件的域名存在于黑名单中，则屏蔽邮件。

若邮件的域名不存在于黑名单中，判定邮件的地址来源是否合法。

该黑名单可以为邮件系统内部建立的垃圾邮件黑名单，也可以为国际或国内发垃圾邮件组织联盟提供的垃圾邮件黑名单。当邮件系统收到邮件后，查询该邮件的域名是否存在于在黑名单中，如果该邮件的域名已存在于黑名单中，则说明该邮件为垃圾邮件。

如果黑名单中不存在该邮件的域名，则说明该邮件的域名之前没有被用户举报为垃圾域名过，不能通过黑名单判断该邮件是否为垃圾邮件。

为了进一步判断该邮件是否为垃圾邮件，可以通过查询邮件的地址是否合法辅助判定。

判定邮件的地址来源是否合法可以包括以下步骤。

通过发送方策略架构，查验邮件的地址是否存在于发送方策略架构的地址记录中。

若所述邮件的地址存在于所述发送方策略架构的地址记录中，则所述邮件的地址来源合法。

若发送方策略架构的地址记录中不包含邮件的地址，则邮件的地址来源不合法。

发送方策略架构(Sender Policy Framework，简称SPF)是为了防范垃圾邮件而提出来的一种DNS记录类型，它是一种TXT类型的记录，它用于登记某个域名拥有的用来外发邮件的所有IP地址。邮件系统将邮箱域名和固定的IP源绑定，通过SPF向收信者表明，哪些邮件服务器是经过该域名认可发送邮件的，进而确定哪些邮件是合法、安全的，哪些是不合法、不安全的。

若邮件的地址来源合法，则执行步骤S1。

邮件系统在确认邮件的地址来源合法后，再判断该邮件中是否包含社工口令，进一步确认该邮件是否为垃圾邮件。

若邮件不合法，则屏蔽邮件。

邮件系统在确认邮件的地址来源不合法后，确认该邮件为垃圾邮件，则不接收该邮件。

S2，当邮件中包含社工口令时，判定邮件为垃圾邮件。

当邮件系统确认邮件中含有社工口令，则邮件系统判定该邮件存在一定的钓鱼风险，暂时先将该邮件判定为垃圾邮件，避免用户冒风险打开该邮件。

当邮件中不包含社工口令时，判定邮件为正常邮件，接收邮件。

判定邮件为正常邮件，则用户正常的收到邮件，并对邮件进行处理。

S3，将垃圾邮件进行隔离、阻断、丢弃、删除或标记处理，以及，将垃圾邮件的域名加入黑名单中。

当邮件系统确认邮件中含有社工口令，暂时先将该邮件判定为垃圾邮件，对邮件进行处理。具体的处理方式包括：隔离，指将垃圾邮件和疑似垃圾邮件统一存放在一个临时区域，供用户登陆隔离区自行手动处理；阻断，指邮件系统自动阻断疑似垃圾邮件的邮件，并发送退信提醒给发件人；丢弃，指邮件系统自动丢弃垃圾邮件；删除，指邮件系统将垃圾邮件和疑似的垃圾邮件暂时收取在隔离区，用户可手动删除，或邮件系统超过临时保存期后自动删除；标记，指邮件系统对垃圾邮件的发送源IP进行标记，供源IP信誉统计分析使用。

将垃圾邮件的域名加入黑名单中之后，方法还包括：

基于垃圾邮件的域名，通过密网技术，将可能产生垃圾邮件的域名加入黑名单中。

蜜网技术可用于收集黑客的攻击信息，其构成了一个黑客诱捕网络体系架构，在这个架构中，可以包含一个或多个蜜罐，网络的高度可控，可以提供多种工具对攻击信息进行采集和分析。蜜网有着三大核心需求：即数据控制、数据捕获和数据分析。通过数据控制能够确保黑客不能利用蜜网危害第三方网络的安全，以减轻蜜网架设的风险；数据捕获技术能够检测并审计黑客攻击的所有行为数据；而数据分析技术则帮助安全研究人员从捕获的数据中分析出黑客的具体活动、使用工具及其意图。

通过密网技术，可以获取更多的垃圾邮件的信息，提前将可能产生垃圾邮件的域名计入黑名单中，从而更加便于邮件系统识别垃圾邮件。

本公开实施例提供了一种垃圾邮件处理方法，使邮件系统通过判断邮件中是否包含社交口令识别垃圾邮件，并将垃圾邮件的域名加入黑名单，可在下次接收到同样域名的垃圾邮件时直接屏蔽该垃圾邮件，该方法使得邮件系统能在复杂得社工环境中快速得识别垃圾邮件，并对垃圾邮件进行快速处理，有效避免用户掉入钓鱼陷阱。

图2示意性示出了本公开实施例提供的一种垃圾邮件处理装置的结构框图。

如图2所示，垃圾邮件处理装置200包括：第一处理模块201、第二处理模块202及第三处理模块203。该装置可实现如图1所示的方法。

具体的，第一处理模块201，用于判断邮件中是否包含社工口令。

第二处理模块202，用于当邮件中包含社工口令时，判定邮件为垃圾邮件。

第三处理模块203，用于将垃圾邮件进行隔离、阻断、丢弃、删除或标记处理，将垃圾邮件的域名加入黑名单中。

下面对垃圾邮件处理装置200的工作过程进行描述：

当第一处理模块201获取到新的邮件后，首先查询该邮件的域名是否在黑名单中，若邮件域名在黑名单中，则屏蔽该邮件，若该邮件域名不在黑名单中给，判定邮件的地址来源是否合法，若邮件地址来源不合法，则屏蔽该邮件，若邮件地址来源合法，则判断邮件中是否包含社工口令，若该邮件中包含社工口令，则第二处理模块202将该邮件判定为垃圾邮件，并通知第三处理模块203将垃圾邮件进行隔离、阻断、丢弃、删除或标记处理，第三处理模块203将垃圾邮件处理完毕后，将垃圾邮件的域名加入黑名单中。

可以理解的是，第一处理模块201、第二处理模块202及第三处理模块203可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本发明的实施例，第一处理模块201、第二处理模块202及第三处理模块203中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以以对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式的适当组合来实现。或者，第一处理模块201、第二处理模块202及第三处理模块203中的至少一个可以至少被部分地实现为计算机程序模块，当该程序被计算机运行时，可以执行相应模块的功能。

本公开实施例提供了一种垃圾邮件处理装置，通过判断邮件中是否包含社交口令识别垃圾邮件，并将垃圾邮件的域名加入黑名单，可在下次接收到同样域名的垃圾邮件时直接屏蔽该垃圾邮件，该装置能在复杂得社工环境中快速得识别垃圾邮件，并对垃圾邮件进行快速处理，有效避免用户掉入钓鱼陷阱。

图3示意性示出了本公开实施例提供的一种电子设备的结构框图。

如图3所示，本实施例中所描述的电子设备，包括：电子设备300包括处理器310、计算机可读存储介质320。该电子设备300可以执行上面参考图1描述的方法，以实现对特定操作的检测。

具体地，处理器310例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器310还可以包括用于缓存用途的板载存储器。处理器310可以是用于执行参考图1描述的根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

计算机可读存储介质320，例如可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，可读存储介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。可读存储介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。

计算机可读存储介质320可以包括计算机程序321，该计算机程序321可以包括代码/计算机可执行指令，其在由处理器310执行时使得处理器310执行例如上面结合图1所描述的方法流程及其任何变形。

计算机程序321可被配置为具有例如包括计算机程序模块的计算机程序代码。例如，在示例实施例中，计算机程序321中的代码可以包括一个或多个程序模块，例如包括321A、模块321B、……。应当注意，模块的划分方式和个数并不是固定的，本领域技术人员可以根据实际情况使用合适的程序模块或程序模块组合，当这些程序模块组合被处理器310执行时，使得处理器310可以执行例如上面结合图1～图2所描述的方法流程及其任何变形。

根据本发明的实施例，第一处理模块201、第二处理模块202及第三处理模块203中的至少一个可以实现为参考图3描述的计算机程序模块，其在被处理器310执行时，可以实现上面描述的相应操作。

本公开还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合或/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

尽管已经参照本公开的特定示例性实施例示出并描述了本公开，但是本领域技术人员应该理解，在不背离所附权利要求及其等同物限定的本公开的精神和范围的情况下，可以对本公开进行形式和细节上的多种改变。因此，本公开的范围不应该限于上述实施例，而是应该不仅由所附权利要求来进行确定，还由所附权利要求的等同物来进行限定。

Claims (10)

1.一种垃圾邮件处理方法，其特征在于，包括：

S1，判断邮件中是否包含社工口令；

S2，当所述邮件中包含社工口令时，判定所述邮件为垃圾邮件；

S3，将所述垃圾邮件进行隔离、阻断、丢弃、删除或标记处理，以及，将所述垃圾邮件的域名加入黑名单中。

2.根据权利要求1所述的方法，其特征在于，在步骤S1之前，方法还包括：

查询所述邮件的域名是否存在于所述黑名单中；

若所述邮件的域名不存在于所述黑名单中，判定所述邮件的地址来源是否合法；

若所述邮件的地址来源合法，则执行步骤S1；

若所述邮件的地址来源不合法，则屏蔽所述邮件。

3.根据权利要求2所述的方法，其特征在于，所述判定所述邮件的地址来源是否合法包括：

通过发送方策略架构，查验所述邮件的地址是否存在于所述发送方策略架构的地址记录中；

若所述邮件的地址存在于所述发送方策略架构的地址记录中，则所述邮件的地址来源合法；

若所述邮件的地址不存在于所述发送方策略架构的地址记录中，则所述邮件的地址来源不合法。

4.根据权利要求1所述的方法，其特征在于，若所述邮件的域名存在于所述黑名单中，则屏蔽所述邮件。

5.根据权利要求1所述的方法，其特征在于，所述社工口令为基于社会工程学的、具有诱导作用的欺骗性指令。

6.根据权利要求1所述的方法，其特征在于，当所述邮件中不包含社工口令时，判定所述邮件为正常邮件，所述邮件。

7.根据权利要求1所述的方法，其特征在于，将所述垃圾邮件的域名加入黑名单中之后，方法还包括：

基于所述垃圾邮件的域名，通过密网技术，将可能产生垃圾邮件的域名加入所述黑名单中。

8.一种垃圾邮件处理装置，其特征在于，包括：

第一处理模块，用于判断邮件中是否包含社工口令；

第二处理模块，用于当所述邮件中包含社工口令时，判定所述邮件为垃圾邮件；

第三处理模块，用于将所述垃圾邮件进行隔离、阻断、丢弃、删除或标记处理，将所述垃圾邮件的域名加入黑名单中。

9.一种电子设备，包括：存储器，处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时，实现权利要求1至7中的任一项所述一种垃圾邮件处理方法中的各个步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时，实现权利要求1至7中的任一项所述一种垃圾邮件处理方法中的各个步骤。