一种恶意电子邮件检测方法及其系统与流程

1.本发明涉及电子邮件安全分析方法，更具体地说是指一种恶意电子邮件检测方法及其系统。


背景技术：

2.传统的恶意电子邮件检测识别是基于已知电子邮箱域名黑名单和邮件内容特征，具体地，通过对电子邮件来源联系人邮箱域名进行检测，检测是否匹配已有电子邮箱域名黑名单；同时对电子邮件内容检测，检测是否匹配已有恶意代码特征库。但是，这种方式由于其依赖于自有的相关匹配规则或策略，导致在安全问题上往往出现大量误报、漏报，并在情报更新和威胁嗅探上往往囿于劣势；同时，由于其安全判定基于规则，而规则往往又是已知威胁的整理集合，导致恶意电子邮件可以绕过检测进行攻击。因此，当前的恶意电子邮件检测识别方法无法有效识别多变的恶意电子邮件。
3.因此，有必要设计一种新的方法，实现可有效识别多变的恶意电子邮件。


技术实现要素：

4.本发明的目的在于克服现有技术的缺陷，提供一种恶意电子邮件检测方法及其系统。
5.为实现上述目的，本发明采用以下技术方案：一种恶意电子邮件检测方法，其特征在于，包括：
6.获取邮箱客户端信息；
7.根据所述邮箱客户端信息生成邮箱域名公共黑名单库；
8.根据所述邮箱客户端信息生成邮箱域名私有白名单库；
9.监控发送至各个电子邮箱账户的电子邮件信息，以得到各个电子邮箱接收到的电子邮件联系人邮箱域名；
10.匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名公共黑名单库，以得到第一匹配结果；
11.匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名私有白名单库，以得到第二匹配结果；
12.根据所述第一匹配结果以及所述第二匹配结果判断发送至电子邮箱账户的电子邮件信息中是否存在异常电子邮件；
13.若发送至电子邮箱账户的电子邮件信息中存在异常电子邮件，则对异常电子邮件进行隔离；
14.生成异常电子邮件告警信息。
15.作为优选，所述邮箱客户端信息包括电子邮箱账户信息、电子邮箱已发送邮件联系人信息、电子邮箱已接收邮件联系人信息以及电子邮箱黑名单联系人信息。
16.作为优选，所述根据所述邮箱客户端信息生成邮箱域名公共黑名单库，包括：
17.计算所有电子邮箱的电子邮箱黑名单联系人信息的集合，以得到原始公共黑名单库；
18.定时爬取和收集公开的恶意域名情报库内的恶意域名列表，以得到补充公共黑名单库；
19.对所述原始公共黑名单库以及补充公共黑名单库进行去重、排列以及整合，以得到邮箱域名公共黑名单库。
20.作为优选，所述根据所述邮箱客户端信息生成邮箱域名私有白名单库，包括：
21.计算每个电子邮箱对应的电子邮箱已发送邮件联系人信息以及电子邮箱已接收邮件联系人信息的交集，以得到每个电子邮箱的邮箱域名私有白名单库。
22.作为优选，所述匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名公共黑名单库，以得到第一匹配结果，包括：
23.判断所述电子邮箱接收到的电子邮件联系人邮箱域名是否属于所述邮箱域名公共黑名单库内的元素；
24.若所述电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库，以得到第一匹配结果；
25.若所述电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，以得到第一匹配结果。
26.作为优选，所述匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名私有白名单库，以得到第二匹配结果，包括：
27.判断所述电子邮箱接收到的电子邮件联系人邮箱域名是否属于所述邮箱域名私有白名单库内的元素；
28.若所述电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名私有白名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名私有白名单库，以得到第二匹配结果；
29.若所述电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名私有白名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名私有白名单库，以得到第二匹配结果。
30.作为优选，所述根据所述第一匹配结果以及所述第二匹配结果判断发送至电子邮箱账户的电子邮件信息中是否存在异常电子邮件，包括：
31.当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库时，发送至电子邮箱账户的电子邮件信息中存在异常电子邮件，且将电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为异常电子邮件；
32.当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，且所述第二匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共白名单库时，发送至电子邮箱账户的电子邮件信息中不存在异常电子邮件，且将电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为非异常电子邮件；
33.当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，且所述第二匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共白名单库时，将电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为未知邮件。
34.作为优选，所述根据所述第一匹配结果以及所述第二匹配结果判断发送至电子邮箱账户的电子邮件信息中是否存在异常电子邮件之后，还包括：
35.若发送至电子邮箱账户的电子邮件信息中不存在异常电子邮件，则允许非异常邮件到达对应的电子邮箱账户，对所述未知邮件进行隔离，并进行未知电子邮件的告警。
36.本发明还提供了一种恶意电子邮件检测系统，包括：
37.获取单元，用于获取邮箱客户端信息；
38.黑名单库生成单元，用于根据所述邮箱客户端信息生成邮箱域名公共黑名单库；
39.白名单库生成单元，用于根据所述邮箱客户端信息生成邮箱域名私有白名单库；
40.监控单元，用于监控发送至各个电子邮箱账户的电子邮件信息，以得到各个电子邮箱接收到的电子邮件联系人邮箱域名；
41.第一匹配单元，用于匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名公共黑名单库，以得到第一匹配结果；
42.第二匹配单元，用于匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名私有白名单库，以得到第二匹配结果；
43.判断单元，用于根据所述第一匹配结果以及所述第二匹配结果判断发送至电子邮箱账户的电子邮件信息中是否存在异常电子邮件；
44.第一隔离单元，用于若发送至电子邮箱账户的电子邮件信息中存在异常电子邮件，则对异常电子邮件进行隔离；
45.信息生成单元，用于生成异常电子邮件告警信息。
46.其进一步技术方案为：所述黑名单库生成单元包括：
47.集合计算子单元，用于计算所有电子邮箱的电子邮箱黑名单联系人信息的集合，以得到原始公共黑名单库；
48.爬取子单元，用于定时爬取和收集公开的恶意域名情报库内的恶意域名列表，以得到补充公共黑名单库；
49.处理子单元，用于对所述原始公共黑名单库以及补充公共黑名单库进行去重、排列以及整合，以得到邮箱域名公共黑名单库。
50.本发明与现有技术相比的有益效果是：本发明通过对各个电子邮箱接收到的电子邮件联系人邮箱域名进行检测，并基于邮箱域名公共黑名单库和对应邮箱域名私有白名单库进行识别判断，当存在异常电子邮件时，进行告警并阻止相应电子邮件到达对应的电子邮箱，能够实现精确恶意电子邮件检测，实现可有效识别多变的恶意电子邮件。
51.下面结合附图和具体实施例对本发明作进一步描述。
附图说明
52.为了更清楚地说明本发明实施例技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普
通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
53.图1为本发明实施例提供的一种恶意电子邮件检测方法的应用场景示意图；
54.图2为本发明实施例提供的一种恶意电子邮件检测方法的流程示意图；
55.图3为本发明实施例提供的一种恶意电子邮件检测方法的子流程示意图；
56.图4为本发明实施例提供的一种恶意电子邮件检测方法的子流程示意图；
57.图5为本发明实施例提供的一种恶意电子邮件检测方法的子流程示意图；
58.图6为本发明实施例提供的一种恶意电子邮件检测系统的示意性框图；
59.图7为本发明实施例提供的一种恶意电子邮件检测系统的黑名单库生成单元的示意性框图；
60.图8为本发明实施例提供的一种恶意电子邮件检测系统的第一匹配单元的示意性框图；
61.图9为本发明实施例提供的一种恶意电子邮件检测系统的第二匹配单元的示意性框图；
62.图10为本发明实施例提供的计算机设备的示意性框图。
具体实施方式
63.下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
64.应当理解，当在本说明书和所附权利要求书中使用时，术语“包括”和“包含”指示所描述特征、整体、步骤、操作、元素和/或组件的存在，但并不排除一个或多个其它特征、整体、步骤、操作、元素、组件和/或其集合的存在或添加。
65.还应当理解，在此本发明说明书中所使用的术语仅仅是出于描述特定实施例的目的而并不意在限制本发明。如在本发明说明书和所附权利要求书中所使用的那样，除非上下文清楚地指明其它情况，否则单数形式的“一”、“一个”及“该”意在包括复数形式。
66.还应当进一步理解，在本发明说明书和所附权利要求书中使用的术语“和/ 或”是指相关联列出的项中的一个或多个的任何组合以及所有可能组合，并且包括这些组合。
67.请参阅图1和图2，图1为本发明实施例提供的一种恶意电子邮件检测方法的应用场景示意图。图2为本发明实施例提供的一种恶意电子邮件检测方法的示意性流程图。该一种恶意电子邮件检测方法应用于服务器中。该服务器与各个终端进行数据交互，每个终端代表一个邮箱客户端，也就是电子邮箱，服务器构建电子邮箱域名公共黑名单库和独立白名单库，对发件人邮箱域名进行监控，检测异常电子邮箱域名，当存在异常电子邮箱域名时，判断该电子邮件是否属于恶意电子邮件并告警。
68.图2是本发明实施例提供的一种恶意电子邮件检测方法的流程示意图。如图2所示，该方法包括以下步骤s110至s200。
69.s110、获取邮箱客户端信息。
70.在本实施例中，所述邮箱客户端信息包括电子邮箱账户信息、电子邮箱已发送邮件联系人信息、电子邮箱已接收邮件联系人信息以及电子邮箱黑名单联系人信息。
71.具体地，通过在个电子邮箱系统的终端安装agent软件实现邮箱客户端信息的获取；所述邮箱客户端信息从电子邮箱系统用户终端群组g进行获取，g为所有的电子邮箱系统用户终端；所述邮箱客户端信息获取操作会在新增电子邮箱时进行一次。
72.举个例子：在一个实施例中，所述电子邮箱系统用户终端群组g包含3个用户终端，即g{go，gp，gq}，对应的三个受保护的邮箱账户分别为o、p、 q；获取邮箱客户端信息，通过在g{go，gp，gq}三台终端上安装agent软件，独立采集o、p、q三个邮箱账户的信息。在go终端上，采集到邮箱账户o的信息，邮箱账户o的已发送邮件联系人列表为{nancy@a.com，lisa@b.com， thomas@c.com}，已接收邮件联系人列表为{charles@d.com，susan@e.com， richard@f.com}，黑名单联系人列表为{hacker1@attack1.com}；在gp终端上，采集到邮箱账户p的信息，邮箱账户p的已发送邮件联系人列表为 {jennifer@a.com，william@b.com，maria@c.com}，已接收邮件联系人列表为 {david@d.com，jennifer@a.com，william@b.com}，黑名单联系人列表为 {michael@b.com}；在gq终端上，采集到邮箱账户q的信息，邮箱账户q的已发送邮件联系人列表为{linda@a.com，robert@b.com，john@c.com}，已接收邮件联系人列表为{linda@a.com，james@d.com，mary@e.com}，黑名单联系人列表为{hacker2@attack2.com，hacker3@attack2.com}。
73.s120、根据所述邮箱客户端信息生成邮箱域名公共黑名单库。
74.在本实施例中，邮箱域名公共黑名单库是指电子邮箱域名的黑名单构成的集合。
75.在一实施例中，请参阅图3，上述的步骤s120可包括步骤s121～s123。
76.s121、计算所有电子邮箱的电子邮箱黑名单联系人信息的集合，以得到原始公共黑名单库。
77.在本实施例中，原始公共黑名单库是指所有电子邮箱的电子邮箱黑名单联系人信息构成的合集。
78.具体地，存在算法t1，该算法针对从电子邮箱系统用户终端群组g获取的邮箱客户端信息，生成原始公共黑名单库b1；算法t1具体实现如下，针对电子邮箱系统用户终端群组g，获取各终端电子邮箱账户信息{a
i1
，a
i2
，
……ain
}，各终端电子邮箱账户黑名单联系人信息{k
i1
，k
i1
，
……kin
}，计算各终端电子邮箱账户下的黑名单联系人电子邮箱域名集合。设当前电子邮箱系统用户终端群组为g
x
，当前电子邮箱账户信息数据集为a
x
，对应的电子邮箱黑名单联系人数据集为k
x
，即计算t1(a
x
，k
x
)；若t1(a
x
，k
x
)＝0，即表示当前电子邮箱系统用户终端群组没有任何一个电子邮箱账户存在黑名单联系人，此时原始公共黑名单库b1为空；若t1(a
x
，k
x
)＝1，即表示当前电子邮箱系统用户终端群组至少存在一个电子邮箱账户存在黑名单联系人，此时b1为电子邮箱系统用户终端群组 g
x
下的原始公共黑名单库。
79.举个例子：根据从各个终端上获取的邮箱账户信息，使用所述算法t1进行分析，各终端电子邮箱账户信息a
x
为{o，p，q}，对应的电子邮箱账户下的黑名单联系人列表k
x
为{{hacker1@attack1.com}，{michael@b.com}， {hacker2@attack2.com，hacker3@attack2.com}}。即计算t1(a
x
，k
x
)＝({o，p， q}，{{hacker1@attack1.com}，{michael@b.com}，{hacker2@attack2.com， hacker3@attack2.com}})，此时生成当前电子邮箱系统用户终端群组的原始公共黑名单库b1为{attack1.com，b.com，attack2.com}，t1＝1。
80.s122、定时爬取和收集公开的恶意域名情报库内的恶意域名列表，以得到补充公共黑名单库。
81.在本实施例中，补充公共黑名单库是指公开的恶意域名情报库内的恶意域名列表构成集合。
82.具体地，存在算法t2，该算法针对公开的恶意域名情报库，定时爬取收集恶意域名列表，生成补充公共黑名单库b2；算法t2具体实现如下，针对已知的公开恶意情报库，获取公开恶意情报库接口数据集{f1，f2，
……fn
}，爬取收集时间间隔为u，u缺省为24小时，计算各个公开恶意情报库接口爬取到的恶意域名集合。设当前公开恶意情报库接口数据集为f
x
，爬取收集时间间隔为u
x
，即计算t2(f
x
，u
x
)；若t2(f
x
，u
x
)＝0，即公开恶意情报库爬取收集失败，或公开恶意情报库接口下无恶意域名，此时补充公共黑名单库b2为空；若t2(f
x
，u
x
)＝ 1，即表示当前公开恶意情报库接口数据集至少存在一个公开接口已收集到恶意域名，此时b2为公开恶意情报库接口数据集f
x
下的补充公共黑名单库。
83.举个例子：根据从各个终端上获取的邮箱账户信息，使用所述算法t2进行分析，定义的公开恶意情报库接口集f
x
为{threatcrowd，threatbook，virustotal}，爬取收集时间间隔u为24小时。即计算t2(f
x
，u
x
)＝({threatcrowd，threatbook， virustotal}，24)，此时生成当前公开恶意情报库接口集下爬取生成的补充公共黑名单库b2为{attack3.com，attack4.com，
……
attackn.com}，t2＝1。
84.s123、对所述原始公共黑名单库以及补充公共黑名单库进行去重、排列以及整合，以得到邮箱域名公共黑名单库。
85.在本实施例中，存在算法t3，该算法针对原始公共黑名单库b1和补充公共黑名单库b2，生成正式公共黑名单库b3；算法t3具体实现如下，针对原始公共黑名单库b1，获取原始公共黑名单库黑名单数据集{b
11
，b
12
，
……b1n
}；针对补充公共黑名单库b2，获取补充公共黑名单库黑名单数据集{b
21
，b
22
，
……b2n
}，计算两个数据集去重排列整合后的结果集。设当前原始公共黑名单库为b
1x
，补充公共黑名单库为b
2x
，即计算t3(b
1x
，b
2x
)；若t3(b
1x
，b
2x
)＝0，即表示正式公共黑名单库b3生成失败，则原始公共黑名单库和补充公共黑名单库至少有一个存在异常，此时b3为空集；若t3(b
1x
，b
2x
)＝1，即表示原始公共黑名单库和补充公共黑名单库均正常，此时b3为原始公共黑名单库b
1x
和补充公共黑名单库 b
2x
生成的正式公共黑名单库。
86.举个例子：根据原始公共黑名单库b1和补充公共黑名单库b2，使用所述算法t3进行分析，原始公共黑名单库b1为{attack1.com，b.com，attack2.com}，补充公共黑名单库b2为{attack3.com，attack4.com，
……
attackn.com}。即计算t3(b1， b2)＝({attack1.com，b.com，attack2.com}，{attack3.com，attack4.com，
……
attackn.com})，此时生成正式公共黑名单库b3为{b.com，attack1.com， attack2.com，attack3.com，attack4.com，
……
attackn.com}，t3＝1。
87.s130、根据所述邮箱客户端信息生成邮箱域名私有白名单库。
88.在本实施例中，邮箱域名私有白名单库是指每个电子邮箱对应的可进行正常接收邮箱的邮箱域名构成的集合。
89.计算每个电子邮箱对应的电子邮箱已发送邮件联系人信息以及电子邮箱已接收邮件联系人信息的交集，以得到每个电子邮箱的邮箱域名私有白名单库。
90.具体地，存在算法t4，该算法针对从电子邮箱系统用户终端群组g获取的邮箱客户端信息，生成各个电子邮箱账户的正式私有白名单库集合w1；算法t4具体实现如下，针对电子邮箱系统用户终端群组g，获取各终端电子邮箱账户信息{a
i1
，a
i2
，
……ain
}，各终端电子
邮箱账户已发送邮件联系人信息{s
i1
， s
i1
，
……sin
}，各终端电子邮箱账户已接收邮件联系人信息{r
i1
，r
i1
，
……rin
}，计算各个电子邮箱账户已发送邮件联系人信息与已接收邮件联系人信息的交集，并根据每个电子邮箱账户生成独立的白名单电子邮箱域名集合。设当前电子邮箱系统用户终端群组为g
x
，当前电子邮箱账户信息数据集为a
x
，对应的电子邮箱账户已发送邮件联系人数据集为s
x
，电子邮箱账户已接收邮件联系人数据集为r
x
，即计算t4{(s
x
，r
x
)，a
x
}；若t4{(s
x
，r
x
)，a
x
}＝0，即表示正式私有白名单库集合生成失败，至少存在一个电子邮箱账户的私有白名单库存在异常，此时w1为空集；若t4{(s
x
，r
x
)，a
x
}＝1，即表示正式私有白名单库集合生成成功，此时w1为电子邮箱账户信息数据集a
x
下的正式私有白名单库集合，每个电子邮箱账户对应的正式私有白名单库为{w
11
，w
12
，
……w1x
}。
91.举个例子：使用所述算法t4进行分析，各终端电子邮箱账户信息a
x
为{o， p，q}，对应的各终端电子邮箱账户已发送邮件联系人信息s
x
为{{nancy@a.com， lisa@b.com，thomas@c.com}，{jennifer@a.com，william@b.com，maria@c.com}，{linda@a.com，robert@b.com，john@c.com}}，对应的各终端电子邮箱账户已接收邮件联系人信息r
x
为{{charles@d.com，susan@e.com，richard@f.com}， {david@d.com，jennifer@a.com，william@b.com}，{linda@a.com，james@d.com， mary@e.com}}。即计算t4{(s
x
，r
x
)，a
x
}＝{({{nancy@a.com，lisa@b.com， thomas@c.com}，{jennifer@a.com，william@b.com，maria@c.com}， {linda@a.com，robert@b.com，john@c.com}}，{{charles@d.com，susan@e.com， richard@f.com}，{david@d.com，jennifer@a.com，william@b.com}，{linda@a.com， james@d.com，mary@e.com}})，{o，p，q}}，此时生成邮箱账户o的正式私有白名单库w
1o
为{}，邮箱账户p的正式私有白名单库w
1p
为{a.com，b.com}，邮箱账户q的正式私有白名单库w
1q
为{a.com}，t
4o
＝0，t
4p
＝1，t
4q
＝1。
92.s140、监控发送至各个电子邮箱账户的电子邮件信息，以得到各个电子邮箱接收到的电子邮件联系人邮箱域名。
93.在本实施例中，各个电子邮箱接收到的电子邮件联系人邮箱域名是指各个电子邮箱接收到的电子邮件的发件人的邮箱域名。
94.具体地，存在算法t5，该算法针对针对从电子邮箱系统用户终端群组g获取的邮箱客户端信息，监控发往各个电子邮箱账户的电子邮件信息，生成发往各个电子邮箱账户的联系人邮箱域名di；算法t5具体实现如下，针对电子邮箱系统用户终端群组g，获取各终端电子邮箱账户信息{a
i1
，a
i2
，
……ain
}，监控发往各个电子邮箱账户的电子邮件集合{e
i1
，e
i2
，
……ein
}，计算发往各个电子邮箱账户的联系人邮箱域名。设当前电子邮箱系统用户终端群组为g
x
，当前电子邮箱账户信息为a
ix
，对应监控的该电子邮箱账户的电子邮件为e
ix
，即计算 t5(a
ix
，e
ix
)；若t5(a
ix
，e
ix
)＝0，即表示当前电子邮箱账户下未接收到电子邮件，此时发往该电子邮箱账户的联系人邮箱域名d
ix
为空；若t5(a
ix
，e
ix
)＝1，即表示存在电子邮件发往当前电子邮箱账户，此时d
ix
为当前电子邮箱账户接收到的电子邮件联系人邮箱域名。
95.举个例子：使用所述算法t5进行分析，各终端电子邮箱账户信息a
x
为{o， p，q}，对应的发往各个邮箱账户的电子邮件集合e
ix
为{{e
o1
}，{e
p1
，e
p2
}，{e
q1
， e
q2
，e
q3
}}。即计算t5(a
x
，e
ix
)＝({o，p，q}，{{e
o1
}，{e
p1
，e
p2
}，{e
q1
，e
q2
， e
q3
}})，此时生成发往邮箱账户o的发件人邮箱域名列表do为{c.com}，发往邮箱账户p的发件人邮箱域名列表d
p
为{a.com，b.com}，发往邮箱账户q的发件人邮箱域名列表dq为{attack1.com}，t
5o
＝1，t
5p
＝1，t
5q
＝1。
96.s150、匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名公共黑名单库，以得到第一匹配结果。
97.在本实施例中，第一匹配结果是指各个电子邮箱接收到的电子邮件联系人邮箱域名是否属于邮箱域名公共黑名单库内的元素。
98.在一实施例中，请参阅图4，上述的步骤s150可包括步骤s151～s153。
99.s151、判断所述电子邮箱接收到的电子邮件联系人邮箱域名是否属于所述邮箱域名公共黑名单库内的元素；
100.s152、若所述电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库，以得到第一匹配结果；
101.s153、若所述电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，以得到第一匹配结果。
102.具体地，存在算法t6，该算法针对各个电子邮箱账户接收到的电子邮件联系人邮箱域名di，与邮箱域名公共黑名单库进行比对，并判断联系人邮箱域名是否属于邮箱域名公共黑名单库；算法t6具体实现如下，针对当前电子邮箱账户，获取该电子邮箱账户接收到的电子邮件联系人邮箱域名di；计算邮箱域名公共黑名单库中是否存在邮箱域名di。设当前电子邮箱账户接收到的电子邮件联系人邮箱域名为d
ix
，邮箱域名公共黑名单库为b3，即计算t6(d
ix
，b3)；若 t6(d
ix
，b3)＝0，即表示当前联系人邮箱域名未匹配邮箱域名公共黑名单库；若t6(d
ix
，b3)＝0，即表示d
ix
∈b3，当前联系人邮箱域名匹配邮箱域名公共黑名单库。
103.举个例子：邮箱域名公共黑名单库b3为{b.com，attack1.com，attack2.com， attack3.com，attack4.com，
……
，attackn.com}，发往邮箱账户o的发件人邮箱域名列表do为{c.com}，发往邮箱账户p的发件人邮箱域名列表d
p
为{a.com， b.com}，发往邮箱账户q的发件人邮箱域名列表dq为{attack1.com}。即计算 t6(do，b3)、t6(d
p
，b3)、t6(dq，b3)，此时t
6o
＝t6(do{c.com}， b3)＝0；t
6p1
＝t6(d
p
{a.com}，b3)＝0；d
p
{b.com}∈b3，t
6p2
＝ t6(d
p
{b.com}，b3)＝1；dq{attack1.com}∈b3，t
6q1
＝t6(dq{attack1.com}，b3)＝1。
104.s160、匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名私有白名单库，以得到第二匹配结果。
105.在本实施例中，第二匹配结果是指各个电子邮箱接收到的电子邮件联系人邮箱域名是否属于邮箱域名私有白名单库内的元素。
106.在一实施例中，请参阅图5，上述的步骤s160可包括步骤s161～s163。
107.s161、判断所述电子邮箱接收到的电子邮件联系人邮箱域名是否属于所述邮箱域名私有白名单库内的元素；
108.s162、若所述电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名私有白名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名私有白名单库，以得到第二匹配结果；
109.s163、若所述电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名私有白名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名私有白名单库，以得到第二匹配结果。
110.具体地，存在算法t7，该算法针对各个电子邮箱账户接收到的电子邮件联系人邮箱域名di，与各个电子邮箱账户对应的邮箱域名私有白名单库进行比对，并判断联系人邮箱域名是否属于邮箱域名私有白名单库；算法t7具体实现如下，针对当前电子邮箱账户，获取该电子邮箱账户接收到的电子邮件联系人邮箱域名di；计算对应的邮箱域名私有白名单库中是否存在邮箱域名di。设当前电子邮箱账户接收到的电子邮件联系人邮箱域名为dix，邮箱域名私有白名单库为 w
1x
，即计算t7(d
ix
，w
1x
)；若t7(d
ix
，w
1x
)＝0，即表示当前联系人邮箱域名未匹配邮箱域名私有白名单库；若t7(d
ix
，w
1x
)＝1，即表示d
ix
∈w
1x
，当前联系人邮箱域名匹配邮箱域名私有白名单库。
111.举个例子：邮箱账户o的邮箱域名私有白名单库w
1o
为{}，邮箱账户p的邮箱域名私有白名单库w
1p
为{a.com,b.com}，邮箱账户q的邮箱域名私有白名单库w
1q
为{a.com}；发往邮箱账户o的发件人邮箱域名列表do为{c.com}，发往邮箱账户p的发件人邮箱域名列表d
p
为{a.com，b.com}，发往邮箱账户q的发件人邮箱域名列表dq为{attack1.com}。即计算t7(do，w
1o
)、t7(d
p
，w
1p
)、 t7(dq，w
1q
)，此时t
7o
＝t7(do{c.com}，w
1o
)＝0；d
p
{a.com} ∈w
1p
，t
7p1
＝t7(d
p
{a.com}，w
1p
)＝1；d
p
{b.com}∈w
1p
，t
7p2
＝t7(d
p
{b.com}， w
1p
)＝1；t
7q1
＝t7(dq{attack1.com}，w
1q
)＝0。
112.在本实施例中，电子邮箱系统用户可以通过终端agent软件提交邮箱域名黑名单情报，待管理员审核通过后会将黑名单情报添加到正式公共黑名单库b3中。电子邮箱系统用户可以通过终端agent软件提交邮箱域名私有白名单申请，待管理员审核通过后会将白名单添加到提交申请的电子邮箱用户的正式私有白名单库w
1x
中。
113.s170、根据所述第一匹配结果以及所述第二匹配结果判断发送至电子邮箱账户的电子邮件信息中是否存在异常电子邮件。
114.在本实施例中，当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库时，发送至电子邮箱账户的电子邮件信息中存在异常电子邮件，且将电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为异常电子邮件；
115.当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，且所述第二匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共白名单库时，发送至电子邮箱账户的电子邮件信息中不存在异常电子邮件，且将电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为非异常电子邮件；
116.当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，且所述第二匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共白名单库时，将电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为未知邮件。
117.具体地，当t5＝1时，表示存在电子邮件发往受保护的电子邮箱账户，此时会进行
恶意电子邮件检测。当t3＝1时，进行电子邮件发件人邮箱域名的公共黑名单库检测，若t6＝1，邮箱域名公共黑名单库匹配成功，隔离该电子邮件，并进行恶意电子邮件告警；若t6＝0且t4＝1时，进行电子邮件发件人邮箱域名的邮箱域名私有白名单库检测，若t7＝1，邮箱域名私有白名单库匹配成功，该电子邮件发件人邮箱域名处在白名单内，电子邮件正常到达电子邮箱账户；若t6＝ 0且t7＝0，表示邮箱域名公共黑名单库和邮箱域名私有白名单库均未匹配成功，隔离该电子邮件，并进行未知电子邮件告警，待管理员审核。t3与t4均可独立执行，结果互不影响。
118.s180、若发送至电子邮箱账户的电子邮件信息中存在异常电子邮件，则对异常电子邮件进行隔离；
119.s190、生成异常电子邮件告警信息。
120.s200、若发送至电子邮箱账户的电子邮件信息中不存在异常电子邮件，则允许非异常邮件到达对应的电子邮箱账户，对所述未知邮件进行隔离，并进行未知电子邮件的告警。
121.举个例子：t1＝1，t2＝1，t3＝1；t
4o
＝0，t
4p
＝1，t
4q
＝1；t
5o
＝1，t
5p
＝1，t
5q
＝1；t
6o
＝0，t
6p1
＝0，t
6p2
＝1，t
6q1
＝1；t
7o
＝0，t
7p1
＝1，t
7p2
＝1， t
7q1
＝0。t
6p2
＝1，即e
p2
为异常邮件；t
6q1
＝1，即e
q1
为异常邮件；t
7o
＝0，即eo为异常邮件；t
7q1
＝0，即e
q1
为异常邮件。故异常电子邮件为eo、e
p2
、 e
q1
。
122.把终端邮箱用户提交的公共黑名单情报、私有白名单申请待管理员审核后分别集成到邮箱域名公共黑名单库、邮箱域名私有白名单库中。邮箱账户o提交了域名为{hack1.com，hack2.com}的黑名单情报，若管理员审核通过，则正式公共黑名单库b3为{hack1.com，hack2.com，b.com，attack1.com，attack2.com， attack3.com，attack4.com，
……
attackn.com}；邮箱账户q提交了域名为{m.com} 的私有白名单申请，若管理员审核通过，则邮箱账户q的正式私有白名单库w1q 为{a.com，m.com}。
123.在本实例中，电子邮件eo、e
p2
、e
q1
将会被隔离。针对电子邮件eo，由于 t
6o
＝0且t
7o
＝0，该电子邮件发件人邮箱域名不属于邮箱域名公共黑名单库同时也不属于电子邮箱账户o的邮箱域名私有白名单库，将进行未知电子邮件异常告警；针对电子邮件e
p2
，t
6p2
＝1且t
7p2
＝1，即电子邮件发件人邮箱域名属于邮箱域名公共黑名单库同时也属于电子邮箱账户p的邮箱域名私有白名单库，但是邮箱域名公共黑名单库的优先级高于邮箱域名私有白名单库，将进行恶意电子邮件异常告警；针对电子邮件e
q1
，t
6q1
＝1且t
7q1
＝0，即电子邮件发件人邮箱域名属于邮箱域名公共黑名单库但不属于电子邮箱账户q的邮箱域名私有白名单库，将进行恶意电子邮件异常告警。
124.上述的一种恶意电子邮件检测方法，通过对各个电子邮箱接收到的电子邮件联系人邮箱域名进行检测，并基于邮箱域名公共黑名单库和对应邮箱域名私有白名单库进行识别判断，当存在异常电子邮件时，进行告警并阻止相应电子邮件到达对应的电子邮箱，能够实现精确恶意电子邮件检测，实现可有效识别多变的恶意电子邮件。
125.图6是本发明实施例提供的一种恶意电子邮件检测系统300的示意性框图。如图6所示，对应于以上一种恶意电子邮件检测方法，本发明还提供一种恶意电子邮件检测系统300。该一种恶意电子邮件检测系统300包括用于执行上述一种恶意电子邮件检测方法的单元，该装置可以被配置于服务器中。具体地，请参阅图6，该一种恶意电子邮件检测系统300
包括获取单元301、黑名单库生成单元302、白名单库生成单元303、监控单元304、第一匹配单元305、第二匹配单元306、判断单元307、第一隔离单元308以及信息生成单元309。
126.获取单元301，用于获取邮箱客户端信息；黑名单库生成单元302，用于根据所述邮箱客户端信息生成邮箱域名公共黑名单库；白名单库生成单元303，用于根据所述邮箱客户端信息生成邮箱域名私有白名单库；监控单元304，用于监控发送至各个电子邮箱账户的电子邮件信息，以得到各个电子邮箱接收到的电子邮件联系人邮箱域名；第一匹配单元305，用于匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名公共黑名单库，以得到第一匹配结果；第二匹配单元306，用于匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名私有白名单库，以得到第二匹配结果；判断单元307，用于根据所述第一匹配结果以及所述第二匹配结果判断发送至电子邮箱账户的电子邮件信息中是否存在异常电子邮件；第一隔离单元308，用于若发送至电子邮箱账户的电子邮件信息中存在异常电子邮件，则对异常电子邮件进行隔离；信息生成单元309，用于生成异常电子邮件告警信息。
127.在一实施例中，上述的恶意电子邮件检测系统包括处理单元310，用于若发送至电子邮箱账户的电子邮件信息中不存在异常电子邮件，则允许非异常邮件到达对应的电子邮箱账户，对所述未知邮件进行隔离，并进行未知电子邮件的告警。
128.在一实施例中，如图7所示，所述黑名单库生成单元302包括集合计算子单元3021、爬取子单元3022以及处理子单元3023。
129.集合计算子单元3021，用于计算所有电子邮箱的电子邮箱黑名单联系人信息的集合，以得到原始公共黑名单库；爬取子单元3022，用于定时爬取和收集公开的恶意域名情报库内的恶意域名列表，以得到补充公共黑名单库；处理子单元3023，用于对所述原始公共黑名单库以及补充公共黑名单库进行去重、排列以及整合，以得到邮箱域名公共黑名单库。
130.在一实施例中，如图8所示，所述第一匹配单元305包括第一判断子单元 3051、第一确定子单元3052以及第二确定子单元3053。
131.第一判断子单元3051，用于判断所述电子邮箱接收到的电子邮件联系人邮箱域名是否属于所述邮箱域名公共黑名单库内的元素；第一确定子单元3052，用于若所述电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库，以得到第一匹配结果；第二确定子单元3053，用于若所述电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，以得到第一匹配结果。
132.在一实施例中，如图9所示，所述第二匹配单元306包括第二判断子单元 3061、第三确定子单元3062以及第四确定子单元3063。
133.第二判断子单元3061，用于判断所述电子邮箱接收到的电子邮件联系人邮箱域名是否属于所述邮箱域名私有白名单库内的元素；第三确定子单元3062，用于若所述电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名私有白名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名私有白名单库，以得到第二匹配结果；第四确定子单元3063，用于若所述电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名私有白名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱
域名不属于所述邮箱域名私有白名单库，以得到第二匹配结果。
134.在一实施例中，所述判断单元307，用于当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库时，发送至电子邮箱账户的电子邮件信息中存在异常电子邮件，且将电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为异常电子邮件；当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，且所述第二匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共白名单库时，发送至电子邮箱账户的电子邮件信息中不存在异常电子邮件，且将电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为非异常电子邮件；当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，且所述第二匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共白名单库时，将电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为未知邮件。
135.需要说明的是，所属领域的技术人员可以清楚地了解到，上述一种恶意电子邮件检测系统300和各单元的具体实现过程，可以参考前述方法实施例中的相应描述，为了描述的方便和简洁，在此不再赘述。
136.上述一种恶意电子邮件检测系统300可以实现为一种计算机程序的形式，该计算机程序可以在如图10所示的计算机设备上运行。
137.请参阅图10，图10是本技术实施例提供的一种计算机设备的示意性框图。该计算机设备500可以是服务器，其中，服务器可以是独立的服务器，也可以是多个服务器组成的服务器集群。
138.参阅图10，该计算机设备500包括通过系统总线501连接的处理器502、存储器和网络接口505，其中，存储器可以包括非易失性存储介质503和内存储器504。
139.该非易失性存储介质503可存储操作系统5031和计算机程序5032。该计算机程序5032包括程序指令，该程序指令被执行时，可使得处理器502执行一种一种恶意电子邮件检测方法。
140.该处理器502用于提供计算和控制能力，以支撑整个计算机设备500的运行。
141.该内存储器504为非易失性存储介质503中的计算机程序5032的运行提供环境，该计算机程序5032被处理器502执行时，可使得处理器502执行一种一种恶意电子邮件检测方法。
142.该网络接口505用于与其它设备进行网络通信。本领域技术人员可以理解，图10中示出的结构，仅仅是与本技术方案相关的部分结构的框图，并不构成对本技术方案所应用于其上的计算机设备500的限定，具体的计算机设备500可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。
143.其中，所述处理器502用于运行存储在存储器中的计算机程序5032，以实现如下步骤：
144.获取邮箱客户端信息；根据所述邮箱客户端信息生成邮箱域名公共黑名单库；根据所述邮箱客户端信息生成邮箱域名私有白名单库；监控发送至各个电子邮箱账户的电子邮件信息，以得到各个电子邮箱接收到的电子邮件联系人邮箱域名；匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名公共黑名单库，以得到第一匹配结果；
匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名私有白名单库，以得到第二匹配结果；根据所述第一匹配结果以及所述第二匹配结果判断发送至电子邮箱账户的电子邮件信息中是否存在异常电子邮件；若发送至电子邮箱账户的电子邮件信息中存在异常电子邮件，则对异常电子邮件进行隔离；生成异常电子邮件告警信息。
145.其中，所述邮箱客户端信息包括电子邮箱账户信息、电子邮箱已发送邮件联系人信息、电子邮箱已接收邮件联系人信息以及电子邮箱黑名单联系人信息。
146.在一实施例中，处理器502在实现所述根据所述邮箱客户端信息生成邮箱域名公共黑名单库步骤时，具体实现如下步骤：
147.计算所有电子邮箱的电子邮箱黑名单联系人信息的集合，以得到原始公共黑名单库；定时爬取和收集公开的恶意域名情报库内的恶意域名列表，以得到补充公共黑名单库；对所述原始公共黑名单库以及补充公共黑名单库进行去重、排列以及整合，以得到邮箱域名公共黑名单库。
148.在一实施例中，处理器502在实现所述根据所述邮箱客户端信息生成邮箱域名私有白名单库步骤时，具体实现如下步骤：
149.计算每个电子邮箱对应的电子邮箱已发送邮件联系人信息以及电子邮箱已接收邮件联系人信息的交集，以得到每个电子邮箱的邮箱域名私有白名单库。
150.在一实施例中，处理器502在实现所述匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名公共黑名单库，以得到第一匹配结果步骤时，具体实现如下步骤：
151.判断所述电子邮箱接收到的电子邮件联系人邮箱域名是否属于所述邮箱域名公共黑名单库内的元素；若所述电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库，以得到第一匹配结果；若所述电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，以得到第一匹配结果。
152.在一实施例中，处理器502在实现所述匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名私有白名单库，以得到第二匹配结果步骤时，具体实现如下步骤：
153.判断所述电子邮箱接收到的电子邮件联系人邮箱域名是否属于所述邮箱域名私有白名单库内的元素；若所述电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名私有白名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名私有白名单库，以得到第二匹配结果；若所述电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名私有白名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名私有白名单库，以得到第二匹配结果。
154.在一实施例中，处理器502在实现所述根据所述第一匹配结果以及所述第二匹配结果判断发送至电子邮箱账户的电子邮件信息中是否存在异常电子邮件步骤时，具体实现如下步骤：
155.当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库时，发送至电子邮箱账户的电子邮件信息中存在异常电子邮件，且将
电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为异常电子邮件；当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，且所述第二匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共白名单库时，发送至电子邮箱账户的电子邮件信息中不存在异常电子邮件，且将电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为非异常电子邮件；当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，且所述第二匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共白名单库时，将电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为未知邮件。
156.在一实施例中，处理器502在实现所述根据所述第一匹配结果以及所述第二匹配结果判断发送至电子邮箱账户的电子邮件信息中是否存在异常电子邮件步骤之后，还实现如下步骤：
157.若发送至电子邮箱账户的电子邮件信息中不存在异常电子邮件，则允许非异常邮件到达对应的电子邮箱账户，对所述未知邮件进行隔离，并进行未知电子邮件的告警。
158.应当理解，在本技术实施例中，处理器502可以是中央处理单元310(centralprocessing unit，cpu)，该处理器502还可以是其他通用处理器、数字信号处理器(digital signal processor，dsp)、专用集成电路(application specific integratedcircuit，asic)、现成可编程门阵列(field-programmable gate array，fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。其中，通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。
159.本领域普通技术人员可以理解的是实现上述实施例的方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成。该计算机程序包括程序指令，计算机程序可存储于一存储介质中，该存储介质为计算机可读存储介质。该程序指令被该计算机系统中的至少一个处理器执行，以实现上述方法的实施例的流程步骤。
160.因此，本发明还提供一种存储介质。该存储介质可以为计算机可读存储介质。该存储介质存储有计算机程序，其中该计算机程序被处理器执行时使处理器执行如下步骤：
161.获取邮箱客户端信息；根据所述邮箱客户端信息生成邮箱域名公共黑名单库；根据所述邮箱客户端信息生成邮箱域名私有白名单库；监控发送至各个电子邮箱账户的电子邮件信息，以得到各个电子邮箱接收到的电子邮件联系人邮箱域名；匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名公共黑名单库，以得到第一匹配结果；匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名私有白名单库，以得到第二匹配结果；根据所述第一匹配结果以及所述第二匹配结果判断发送至电子邮箱账户的电子邮件信息中是否存在异常电子邮件；若发送至电子邮箱账户的电子邮件信息中存在异常电子邮件，则对异常电子邮件进行隔离；生成异常电子邮件告警信息。
162.其中，所述邮箱客户端信息包括电子邮箱账户信息、电子邮箱已发送邮件联系人信息、电子邮箱已接收邮件联系人信息以及电子邮箱黑名单联系人信息。
163.在一实施例中，所述处理器在执行所述计算机程序而实现所述根据所述邮箱客户端信息生成邮箱域名公共黑名单库步骤时，具体实现如下步骤：
164.计算所有电子邮箱的电子邮箱黑名单联系人信息的集合，以得到原始公共黑名单
库；定时爬取和收集公开的恶意域名情报库内的恶意域名列表，以得到补充公共黑名单库；对所述原始公共黑名单库以及补充公共黑名单库进行去重、排列以及整合，以得到邮箱域名公共黑名单库。
165.在一实施例中，所述处理器在执行所述计算机程序而实现所述根据所述邮箱客户端信息生成邮箱域名私有白名单库步骤时，具体实现如下步骤：
166.计算每个电子邮箱对应的电子邮箱已发送邮件联系人信息以及电子邮箱已接收邮件联系人信息的交集，以得到每个电子邮箱的邮箱域名私有白名单库。
167.在一实施例中，所述处理器在执行所述计算机程序而实现所述匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名公共黑名单库，以得到第一匹配结果步骤时，具体实现如下步骤：
168.判断所述电子邮箱接收到的电子邮件联系人邮箱域名是否属于所述邮箱域名公共黑名单库内的元素；若所述电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库，以得到第一匹配结果；若所述电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，以得到第一匹配结果。
169.在一实施例中，所述处理器在执行所述计算机程序而实现所述匹配各个电子邮箱接收到的电子邮件联系人邮箱域名以及所述邮箱域名私有白名单库，以得到第二匹配结果步骤时，具体实现如下步骤：
170.判断所述电子邮箱接收到的电子邮件联系人邮箱域名是否属于所述邮箱域名私有白名单库内的元素；若所述电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名私有白名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名私有白名单库，以得到第二匹配结果；若所述电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名私有白名单库内的元素，则确定电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名私有白名单库，以得到第二匹配结果。
171.在一实施例中，所述处理器在执行所述计算机程序而实现所述根据所述第一匹配结果以及所述第二匹配结果判断发送至电子邮箱账户的电子邮件信息中是否存在异常电子邮件步骤时，具体实现如下步骤：
172.当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共黑名单库时，发送至电子邮箱账户的电子邮件信息中存在异常电子邮件，且将电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为异常电子邮件；当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，且所述第二匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名属于所述邮箱域名公共白名单库时，发送至电子邮箱账户的电子邮件信息中不存在异常电子邮件，且将电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为非异常电子邮件；当所述第一匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共黑名单库，且所述第二匹配结果是电子邮箱接收到的电子邮件联系人邮箱域名不属于所述邮箱域名公共白名单库时，将电子邮箱接收到的电子邮件联系人邮箱域名对应的电子邮件确认为未知邮件。
173.在一实施例中，所述处理器在执行所述计算机程序而实现所述根据所述第一匹配结果以及所述第二匹配结果判断发送至电子邮箱账户的电子邮件信息中是否存在异常电子邮件步骤之后，还实现如下步骤：
174.若发送至电子邮箱账户的电子邮件信息中不存在异常电子邮件，则允许非异常邮件到达对应的电子邮箱账户，对所述未知邮件进行隔离，并进行未知电子邮件的告警。
175.所述存储介质可以是u盘、移动硬盘、只读存储器(read-only memory， rom)、磁碟或者光盘等各种可以存储程序代码的计算机可读存储介质。
176.本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
177.在本发明所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的。例如，各个单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。
178.本发明实施例方法中的步骤可以根据实际需要进行顺序调整、合并和删减。本发明实施例装置中的单元可以根据实际需要进行合并、划分和删减。另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元310中，也可以是各个单元单独物理存在，也可以是两个或两个以上单元集成在一个单元中。
179.该集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分，或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，终端，或者网络设备等) 执行本发明各个实施例所述方法的全部或部分步骤。
180.以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。