(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211136207.2 (22)申请日 2022.09.19 (71)申请人 中国联合网络通信集团有限公司 地址 100033 北京市西城区金融大街21号 申请人 联通数字科技有限公司 (72)发明人 王海亮　鲁华伟　刘艳飞　王亚会　 高朋远　胡建男　卢占涛　王天衡　 罗静华　秦晨琛　唐力柱　卫婷婷　 (74)专利代理 机构 北京同立钧成知识产权代理 有限公司 1 1205 专利代理师 吴会英　刘芳 (51)Int.Cl. G06F 16/35(2019.01) G06K 9/62(2022.01) H04L 51/00(2022.01)H04L 51/42(2022.01) (54)发明名称 异常邮件检测方法、 装置、 设备及存 储介质 (57)摘要 本申请提供一种异常邮件检测方法、 装置、 设备及存储介质。 该方法包括： 获取待检测的目 标邮件， 并提取目标邮件中的目标邮件基本信息 及目标邮件正文文本； 基于预先构建的异常数据 库及目标邮件基本信息确定目标邮件是否为初 筛异常邮件； 异常数据库是基于开源异常邮件数 据集中的异常邮件基本信息构建的数据库； 若确 定目标邮件不为初筛异常邮件， 则根据目标邮件 正文文本确定目标邮件的目标场景类别； 根据目 标场景类别获取目标场景类别异常画 像库； 基于 目标场景类别异常画像库、 目标邮件基本信息及 目标邮件正文文本确定目标邮件是否为再筛异 常邮件。 本申请方法基于目标邮件场景类别进行 有针对性地检测， 进而可以准确地检测出目标邮 件是否为异常邮件。 权利要求书3页 说明书18页 附图7页 CN 115470353 A 2022.12.13 CN 115470353 A 1.一种异常邮件检测方法， 其特 征在于， 所述方法包括： 获取待检测的目标邮件， 并提取所述目标邮件中的目标邮件基本信 息及目标邮件正文 文本； 基于预先构建的异常数据库及所述目标邮件基本信息确定所述目标邮件是否为初筛 异常邮件； 所述异常数据库是基于开源异常邮件数据集中的异常邮件基本信息构建的数据 库； 若确定所述目标邮件不为初筛异常邮件， 则根据 所述目标邮件正文文本确定所述目标 邮件的目标场景类别； 根据所述目标场景类别获取目标场景类别异常画像库； 多个场景类别异常画像库 是基 于本地多个场景类别的异常邮件数据集中的异常邮件基本信息的规则数据及异常邮件正 文文本分别构建出来的数据库； 基于所述目标场景类别异常画像库、 目标邮件基本信 息及目标邮件正文文本确定所述 目标邮件是否为再筛异常邮件。 2.根据权利要求1所述的方法， 其特征在于， 所述基于预先构建的异常数据库及所述目 标邮件基本信息确定所述目标邮件是否为初筛异常邮件， 包括： 将所述目标邮件基本信息与所述异常数据库中的异常邮件基本信息进行匹配； 若确定目标邮件基本信 息与任意一个异常邮件基本信 息相匹配， 则确定所述目标邮件 为初筛异常邮件； 若确定目标邮件基本信 息与任意一个异常邮件基本信 息不匹配， 则确定所述目标邮件 不为初筛异常邮件。 3.根据权利要求2所述的方法， 其特征在于， 所述目标邮件基本信息包括： 目标链接地 址信息及目标收发件人信息； 所述异常数据库中包括： 异常链接地址库及异常收发件人数 据库； 所述将所述目标邮件基本信 息与所述异常数据库中的异常邮件基本信 息进行匹配， 包 括： 将所述目标链接地址信 息与所述异常链接地址库中的异常链接地址进行匹配， 并将所 述目标收发件人信息与所述异常收发件人 数据库中的异常收发件人信息进行匹配。 4.根据权利要求1所述的方法， 其特征在于， 所述根据所述目标邮件正文文本确定所述 目标邮件的目标场景类别， 包括： 将所述目标邮件正文 文本输入到已训练至收敛的场景分类模型中； 采用所述已训练至收敛的场景分类模型对所述目标邮件正文文本进行场景分类， 并输 出所述目标邮件的目标场景类别。 5.根据权利要求1所述的方法， 其特征在于， 所述目标场景类别异常画像库包括： 目标 场景类别异常规则库及目标场景类别异常 关键文本库； 所述基于所述目标场景类别异常画像库、 目标邮件基本信 息及目标邮件正文文本确定 所述目标邮件是否为再筛异常邮件之前， 还 包括： 获取本地异常邮件数据集， 所述异常邮件数据集中包括多个异常邮件； 对各异常邮件按照场景类别进行分类， 以获得多个场景类别下的异常邮件， 每个场景 类别下的异常邮件构成场景异常邮件数据集；权　利　要　求　书 1/3 页 2 CN 115470353 A 2提取每个场景类别下的多个异常邮件的异常邮件基本信息及异常邮件正文 文本； 基于每个场景类别下的多个异常邮件基本信息确定每个场景类别下异常邮件基本信 息的至少一种规则数据， 并由每个场景类别下的各规则数据构建每个场景类别下的异常规 则库； 基于每个场景类别下的多个异常邮件正文文本构建每个场景类别下的异常关键文本 库。 6.根据权利要求5所述的方法， 其特征在于， 所述规则数据包括规则格式模板； 所述基 于每个场景类别下 的多个异常邮件基本信息确定每个场景类别下异常邮件基本信息的至 少一种规则数据， 并由每个场景类别下 的各规则数据构建每个场景类别下 的异常规则库， 包括： 按照预设规则分类模型分别对每个场景类别下的多个异常邮件基本信息进行规则分 类， 以获得每 个场景类别下的至少一种规则类别的异常邮件基本信息； 分别提取各规则类别下的异常邮件基本信 息的规则格式， 并基于各规则格式生成对应 的规则格式模板； 由每个场景类别下的各规则格式模板构建每 个场景类别下的异常规则库。 7.根据权利要求5所述的方法， 其特征在于， 所述基于每个场景类别下的多个异常邮件 正文文本构建每 个场景类别下的异常 关键文本库， 包括： 提取每个场景类别下的多个异常邮件正文 文本的异常 关键文本； 根据每个场景类别下异常 关键文本构建异常 关键文本库。 8.根据权利要求5所述的方法， 其特征在于， 所述基于所述目标场景类别异常画像库、 目标邮件基本信息及目标邮件正文 文本确定所述目标邮件是否为再筛异常邮件， 包括： 将目标邮件基本信 息与所述目标场景类别异常规则库中的规则数据进行匹配， 并将目 标邮件正文 文本与所述目标场景类别异常 关键文本库中的异常 关键文本进行匹配； 若确定目标邮件基本信息与任意一个规则数据相匹配， 和/或目标邮件正文文本与任 意一个异常 关键文本相匹配， 则确定目标邮件为再筛异常邮件； 若确定目标邮件基本信 息与任意一个规则数据不匹配， 且目标邮件正文文本与任意一 个异常关键文本不匹配， 则确定目标邮件为 正常邮件。 9.根据权利要求8所述的方法， 其特征在于， 所述目标邮件基本信息包括： 目标链接地 址信息及目标收发件人信息； 所述异常规则库包括： 异常链接地址规则库和异常收发件人 规则库； 所述将目标邮件基本信 息与所述目标场景类别异常规则库中的规则数据进行匹配， 包 括： 将所述目标链接地址信息与所述异常链接地址规则库中的异常链接地址规则数据进 行匹配， 并将所述目标收发件人信息与 异常收发件人规则库中的异常收发件人规则数据进 行匹配。 10.根据权利要求1 ‑9任一项所述的方法， 其特 征在于， 还 包括： 若确定所述目标邮件为初筛异常邮件或再筛异常邮件， 则发出告警信息 。 11.根据权利要求1 ‑9任一项所述的方法， 其特 征在于， 还 包括： 对初筛异常邮件及再筛异常邮件分别进行存 储；权　利　要　求　书 2/3 页 3 CN 115470353 A 3