协作式垃圾邮件防范方法.pdf

一种协作式垃圾邮件防范方法主要解决目前互联网的邮件安全问题，涉及蜜罐原理以及垃圾邮件过滤等相关技术。该方法采用分布式网络结构，包括电子邮件服务器和目录服务器。在体系结构中，邮件服务器是过滤垃圾邮件的主体，同时负责垃圾邮件样本采集，为了提高样本采集的实时性，提取所采集到样本的特征并进行初级判断(一级判断)，然后向目录服务器提交“疑似垃圾邮件”特征。目录服务器对接收到的“疑似垃圾邮件”特征进行第二次筛选(二级判断)，生成垃圾邮件过滤规则并存储到规则库中，然后通过统一接口及时把已更新的规则发布到各邮件服务器的本地规则库，从而实现过滤规则的共享与更新，达到协作式防范垃圾邮件的目的。

1.  一种协作式垃圾邮件防范方法，其特征在于该方法具体如下：
第一步，邮件服务器读取邮件帐户的相关信息，并结合这些信息根据蜜罐帐户评价公式对每个帐户进行评分，然后按照从大到小的顺序把计算所得到的分值写入系统的帐户数据库中，更新帐户评分表并根据蜜罐选择算法，从系统的邮件帐户中选择一定数量的帐户作为蜜罐帐户从而生成蜜罐集合；
第二步，根据垃圾邮件的行为特征，定期从这些蜜罐帐户集合中进行邮件样本采集并提取样本的特征，组成特征向量并用这些特征向量表示样本集合；
第三步，利用这些样本特征向量在蜜罐集合中重复度即样本出现的次数，对其进行初次判断即一级判断，从而初步提高样本的准确度；
第四步，邮件服务器把经过一级判断的特征向量提交到目录服务器，目录服务器再对这些特征向量进行第二次判断即二级判断，筛选出准确度更高的特征向量并生成过滤规则；
第五步，目录服务器把新生成的过滤规则发布到各邮件服务器的规则库中进行更新，各邮件服务器利用这些已经更新的规则在收到新的电子邮件时进行垃圾邮件过滤。

2.  根据权利要求1所述的协作式垃圾邮件防范方法，其特征是：生成蜜罐集合的过程是首先设置初始蜜罐集合为空，然后系统读取数据库中的帐户评分表，优先选择分数较高的帐户并把这些帐户添加进蜜罐集合中，每次增加蜜罐帐户后，对集合中的垃圾邮件数量进行统计；由于服务器中的垃圾邮件数量是有限的，因此随着集合的不断增大，从集合中采集到的垃圾邮件数量将趋于定值，当增加蜜罐帐户后集合中的垃圾邮件增量小于确定的阈值时，就可确定最终的蜜罐集合；
在进行蜜罐帐户选择时，其确定候选蜜罐的评价公式为：
V(t,Δt)=(λ1*S1(t-Δt)H1(t-Δt)+(1-λ1)*S2(Δt)H2(Δt))*λ2+S2(Δt)*(1-λ2)]]>
其中：
V：系统中某个帐户的得分，表示该帐户被选为蜜罐的可能性大小；V的值越大，则该帐户被选为蜜罐帐户的可能性越大，反之越小；
t：时间变量，表示算法执行的时刻点；
Δt：时间区间变量，表示前后两次执行算法的时间间隔；
S₁(t-Δt)：表示帐户在(t-Δt)时刻之前收到的垃圾邮件历史总数；
S₂(Δt)：表示帐户在最近Δt时间段内收到的垃圾邮件总数；
H₁(t-Δt)：表示帐户在(t-Δt)时刻之前收到的合法邮件历史总数；
H₂(Δt)：表示帐户在最近Δt时间段内收到的合法邮件总数；
λ₁：权值，取值在0和1之间。该值可以根据实际系统进行调节；
λ₂：权值，取值在0和1之间。该值可以根据实际系统进行调节。

3.  根据权利要求1所述的协作式垃圾邮件防范方法，其特征是：邮件样本采集是指由于垃圾邮件具有群发的行为特征，一封垃圾邮件经常同时出现在若干蜜罐帐户中，利用这个特征进行样本采集，这需要统计一封邮件在蜜罐集合中的分布，即集合中同时收到这封邮件的帐户数量；如果集合中收到同一封邮件的帐户数量大于指定的阈值，那么就可以把这封邮件判别为“疑似”垃圾邮件并进行采集；

4.  根据权利要求1所述的协作式垃圾邮件防范方法，其特征是：提取样本的特征是指对从蜜罐帐户集合中采集到的垃圾邮件样本进行特征抽取，用特征向量的形式表示样本，以便于后续的存储和计算；采用针对邮件头部和邮件内容指纹信息，而非邮件内容本身的特征提取方法生成轻量级的特征向量；
所述样本的特征向量形式如下：
F＝<SA，SIP，FP>
特征向量F中各分量的意义如下表所示：

协作式垃圾邮件防范方法
技术领域
本发明是一种利用了蜜罐原理以及垃圾邮件过滤等相关技术，涉及网络安全特别是电子邮件安全领域。
背景技术
而近年来，垃圾邮件的传播形式和内容已经出现了新的变化，其危害日益严重：占用了大量的网络资源，降低网络的运行效率；浪费邮件用户大量的时间；成为病毒，木马和网络钓鱼的主要传播途径，严重威胁网络安全；此外，垃圾邮件传播不良信息，对社会造成严重的负面影响。然而，现有的垃圾邮件过滤技术却不能很好地应对这种形势。进一步提高互联网抵御垃圾邮件风险的能力，更好地满足用户对防范垃圾邮件的需求，已成为了网络安全领域里一个迫切的任务。
目前普遍采用的垃圾邮件过滤技术主要有：
一、黑白名单的过滤技术。这种技术需要用户手动维护一个黑白名单列表，并以此为依据进行垃圾邮件过滤。
二、，基于统计的过滤技术。现有的基于统计的技术，例如支持向量机(Support VectorMachine，SVM)方法以及Bayes方法等，对样本的统计规律进行学习和归纳，并以此为依据对新邮件进行判别分类。
三、基于规则的过滤技术。现有的基于规则的方法通过对大量样本的训练得到显式规则，再利用这些规则对垃圾邮件进行过滤。基于规则的方法主要有Ripper方法，决策树方法和Boosting方法等。
以上垃圾邮件过滤技术存在很大不足。首先缺少协作性，由于各邮件服务器独立地过滤垃圾邮件，缺少信息交换，没有形成体系，因此无法相互协作，进行大规模地防范垃圾邮件；其次，计算复杂度高，为了获得过滤规则或垃圾邮件特征，必须对大量的样本进行训练，抽取样本内容，过滤规则也较复杂，导致较高的计算复杂性。再次，缺乏实时性，过滤规则或垃圾邮件特征更新周期较长，更新速度慢，无法过滤最新的垃圾邮件，存在滞后性；最后缺乏适应性，目前网络上垃圾邮件的形式产生了新的变化，出现了以图片等非文本格式为内容的垃圾邮件。而现有的基于内容的过滤方法以分析邮件的文本内容为基础，因此无法过滤以图片形式传播的垃圾邮件，导致系统出现大量的漏判，降低了过滤准确率。
发明内容
技术问题：本发明针对现有垃圾邮件过滤技术的不足，提出一种新的协作式垃圾邮件过滤方法。这种方法具有协作性，快速免疫性以及适应性的特点，能够在互联网环境下进行大规模地拦截垃圾邮件。本发明通过引入目录服务器，把各邮件服务器整合起来。在邮件服务器中利用蜜罐技术进行样本采集，经过一级判断后把样本的特征向量提交到目录服务器，目录服务对这些特征向量进行第二次判断筛选后生成过滤规则，然后把已更新的过滤规则发布到其它邮件服务器中，实现协作式垃圾邮件防范。
技术方案：本发明的协作式垃圾邮件防范方法具体如下：
第一步，邮件服务器读取邮件帐户的相关信息，并结合这些信息根据蜜罐帐户评价公式对每个帐户进行评分，然后按照从大到小的顺序把计算所得到的分值写入系统的帐户数据库中，更新帐户评分表并根据蜜罐选择算法，从系统的邮件帐户中选择一定数量的帐户作为蜜罐帐户从而生成蜜罐集合；
第二步，根据垃圾邮件的行为特征，定期从这些蜜罐帐户集合中进行邮件样本采集并提取样本的特征，组成特征向量并用这些特征向量表示样本集合；
第三步，利用这些样本特征向量在蜜罐集合中重复度即样本出现的次数，对其进行初次判断即一级判断，从而初步提高样本的准确度；
第四步，邮件服务器把经过一级判断的特征向量提交到目录服务器，目录服务器再对这些特征向量进行第二次判断即二级判断，筛选出准确度更高的特征向量并生成过滤规则；
第五步，目录服务器把新生成的过滤规则发布到各邮件服务器的规则库中进行更新，各邮件服务器利用这些已经更新的规则在收到新的电子邮件时进行垃圾邮件过滤。
生成蜜罐集合的过程是首先设置初始蜜罐集合为空，然后系统读取数据库中的帐户评分表，优先选择分数较高的帐户并把这些帐户添加进蜜罐集合中，每次增加蜜罐帐户后，对集合中的垃圾邮件数量进行统计；由于服务器中的垃圾邮件数量是有限的，因此随着集合的不断增大，从集合中采集到的垃圾邮件数量将趋于定值，当增加蜜罐帐户后集合中的垃圾邮件增量小于确定的阈值时，就可确定最终的蜜罐集合；
在进行蜜罐帐户选择时，其确定候选蜜罐的评价公式为：
V(t,Δt)=(λ1*S1(t-Δt)H1(t-Δt)+(1-λ1)*S2(Δt)H2(Δt))*λ2+S2(Δt)*(1-λ2)]]>
其中：
V：系统中某个帐户的得分，表示该帐户被选为蜜罐的可能性大小；V的值越大，则该帐户被选为蜜罐帐户的可能性越大，反之越小；
t：时间变量，表示算法执行的时刻点；
Δt：时间区间变量，表示前后两次执行算法的时间间隔；
S₁(t-Δt)：表示帐户在(t-Δt)时刻之前收到的垃圾邮件历史总数；
S₂(Δt)：表示帐户在最近Δt时间段内收到的垃圾邮件总数；
H₁(t-Δt)：表示帐户在(t-Δt)时刻之前收到的合法邮件历史总数；
H₂(Δt)：表示帐户在最近Δt时间段内收到的合法邮件总数；
λ₁：权值，取值在0和1之间。该值可以根据实际系统进行调节；
λ₂：权值，取值在0和1之间。该值可以根据实际系统进行调节。
邮件样本采集是指由于垃圾邮件具有群发的行为特征，一封垃圾邮件经常同时出现在若干蜜罐帐户中，利用这个特征进行样本采集，这需要统计一封邮件在蜜罐集合中的分布，即集合中同时收到这封邮件的帐户数量；如果集合中收到同一封邮件的帐户数量大于指定的阈值，那么就可以把这封邮件判别为“疑似”垃圾邮件并进行采集；
提取样本的特征是指对从蜜罐帐户集合中采集到的垃圾邮件样本进行特征抽取，用特征向量的形式表示样本，以便于后续的存储和计算；采用针对邮件头部和邮件内容指纹信息，而非邮件内容本身的特征提取方法生成轻量级的特征向量；
所述样本的特征向量形式如下：
F＝<SA，SIP，FP>
特征向量F中各分量的意义如下表所示：