技术摘要：
本发明实施例公开了一种鱼叉邮件检测方法、装置、电子设备和计算机存储介质，所述方法包括：获取待处理邮件，解析出所述待处理邮件对应的文档数据；提取所述文档数据中的特定特征，将所述特定特征输入至检测模型进行检测，得到检测结果，其中，所述特定特征包括文档类  全部
背景技术：
鱼叉钓鱼附件是一种特别的钓鱼邮件的变种，与传统的钓鱼邮件不同之处在于这 种方式使用了恶意的附件到一封特定的邮件中。所有类型的钓鱼邮件都是针对特定行业或 者公司个人的社会工程目标。在这种场景下攻击者通常会把文档附加到钓鱼邮件中，同时 这种方式往往依赖用户点击来执行。 相关技术中，主要采取动态执行和静态扫描这两种方式防范此类攻击方式，然而， 这两种方式对鱼叉邮件的查杀能力较低，且容易发生漏报、误报的情况，无法准确地识别具 有恶意行为的鱼叉邮件，进而，降低鱼叉邮件的检出率。
技术实现要素：
本发明实施例公开了一种鱼叉邮件检测方法、装置、电子设备和计算机存储介质， 该方法通过对邮件中解析出来的文档数据进行多维度的特征检测，能够准确地识别具有恶 意行为的鱼叉邮件，有效提升鱼叉邮件的检出率。 为达到上述目的，本发明实施例的技术方案是这样实现的： 第一方面，本发明实施例提供了一种鱼叉邮件检测方法，所述方法包括： 获取待处理邮件，解析出所述待处理邮件对应的文档数据； 提取所述文档数据中的特定特征，将所述特定特征输入至检测模型进行检测，得 到检测结果，其中，所述特定特征包括文档类特征和/或图片类特征； 根据所述检测结果确定所述待处理邮件是否为鱼叉邮件。 可选的，所述解析出所述待处理邮件对应的文档数据，包括： 采用电子邮件协议对所述待处理邮件进行解析，得到所述待处理邮件的附件文 档； 从所述附件文档中筛选出待处理邮件对应的文档数据。 可选的，所述从所述附件文档中筛选出待处理邮件对应的文档数据，包括： 在所述附件文档的类型为压缩包的情况下，将所述压缩包进行解压处理； 从解压处理后的附件文档中筛选出待处理邮件对应的文档数据。 可选的，所述方法还包括： 对正常样本数据的特定特征进行提取，得到第一数据； 对恶意样本数据的特定特征进行提取，得到第二数据； 其中，所述正常样本数据表示正常邮件中的文档数据，所述恶意样本数据表示鱼 叉邮件中的文档数据； 根据所述第一数据以及所述第二数据，建立所述检测模型。 4 CN 111600788 A 说　明　书 2/12 页 可选的，所述文档类特征包括以下至少之一：文档大小、文档页数、文档内容的行 数或列数、文档内容是否包含引诱点击文字、文档内容的语言信息、文档内容中的程序代码 信息；所述图片类特征包括以下至少之一：文档内容中的图片数量、图片中是否包含文字、 图片中文字的数量、图片中的文档是否包含引诱点击文字。 可选的，所述方法还包括： 在所述检测结果表示所述文档数据与所述恶意样本数据同类的情况下，根据所述 待处理邮件的源网际互连协议(Internet  Protocol，IP)信息，确定所述待处理邮件是否为 鱼叉邮件； 在所述检测结果表示所述文档数据与所述正常样本数据同类的情况下，确定所述 待处理邮件为非鱼叉邮件。 可选的，所述根据所述待处理邮件的源IP信息，确定所述待处理邮件是否为鱼叉 邮件，包括： 根据所述源IP信息，确定源IP地址处于设定区域的所述待处理邮件为鱼叉邮件； 根据所述源IP信息，确定源IP地址处于非设定区域的所述待处理邮件为高可疑邮 件。 第二方面，本发明实施例提供一种鱼叉邮件检测装置，所述装置包括： 解析模块，用于获取待处理邮件，解析出所述待处理邮件对应的文档数据； 检测模块，用于提取所述文档数据中的特定特征，将所述特定特征输入至检测模 型进行检测，得到检测结果，其中，所述特定特征包括文档类特征和/或图片类特征； 确定模块，用于根据所述检测结果确定所述待处理邮件是否为鱼叉邮件。 可选的，所述解析模块，还用于： 采用电子邮件协议对所述待处理邮件进行解析，得到所述待处理邮件的附件文 档； 从所述附件文档中筛选出待处理邮件对应的文档数据。 可选的，所述解析模块，还用于： 在所述附件文档的类型为压缩包的情况下，将所述压缩包进行解压处理； 从解压处理后的附件文档中筛选出待处理邮件对应的文档数据。 可选的，所述检测模块，还用于： 对正常样本数据的特定特征进行提取，得到第一数据； 对恶意样本数据的特定特征进行提取，得到第二数据； 其中，所述正常样本数据表示正常邮件中的文档数据，所述恶意样本数据表示鱼 叉邮件中的文档数据； 根据所述第一数据以及所述第二数据，建立所述检测模型。 可选的，所述文档类特征包括以下至少之一：文档大小、文档页数、文档内容的行 数或列数、文档内容是否包含引诱点击文字、文档内容的语言信息、文档内容中的程序代码 信息；所述图片类特征包括以下至少之一：文档内容中的图片数量、图片中是否包含文字、 图片中文字的数量、图片中的文档是否包含引诱点击文字。 可选的，所述确定模块，还用于： 在所述检测结果表示所述文档数据与所述恶意样本数据同类的情况下，根据所述 5 CN 111600788 A 说　明　书 3/12 页 待处理邮件的源IP信息，确定所述待处理邮件是否为鱼叉邮件； 在所述检测结果表示所述文档数据与所述正常样本数据同类的情况下，确定所述 待处理邮件为非鱼叉邮件。 可选的，所述确定模块，还用于根据所述待处理邮件的源IP信息，确定所述待处理 邮件是否为鱼叉邮件，包括： 根据所述源IP信息，确定源IP地址处于设定区域的所述待处理邮件为鱼叉邮件； 根据所述源IP信息，确定源IP地址处于非设定区域的所述待处理邮件为高可疑邮 件。 第三方面，本发明实施例提供一种电子设备，所述设备包括存储器、处理器及存储 在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现前述一个 或多个技术方案提供的鱼叉邮件检测方法。 第四方面，提供一种计算机存储介质，所述计算机存储介质存储有计算机程序；所 述计算机程序被执行后能够实现前述一个或多个技术方案提供的鱼叉邮件检测方法。 本发明实施例公开了一种鱼叉邮件检测方法、装置、电子设备和计算机存储介质， 所述方法包括：获取待处理邮件，解析出所述待处理邮件对应的文档数据；提取所述文档数 据中的特定特征，将所述特定特征输入至检测模型进行检测，得到检测结果，其中，所述特 定特征包括文档类特征和/或图片类特征；根据所述检测结果确定所述待处理邮件是否为 鱼叉邮件；如此，本发明实施例基于检测模型对邮件中解析出来的文档数据进行检测，能够 准确地识别具有恶意行为的鱼叉邮件，有效提升鱼叉邮件的检出率。 附图说明 图1为本发明实施例的鱼叉邮件检测方法的流程图； 图2为本发明实施例的对邮件中的文档数据进行提取的流程图； 图3为采用SVM算法进行检测的原理示意图； 图4为对文档数据进行特征描述的过程示意图； 图5为本发明实施例的根据文档数据训练得到检测模型的过程示意图； 图6为本发明实施例的鱼叉邮件检测的流程示意图； 图7为本发明实施例中利用检测模型判断恶意Office附件的流程图； 图8为本发明实施例的鱼叉邮件检测的组成结构示意图； 图9为本发明实施例提供的电子设备的结构示意图。