基于LSTM的钓鱼邮件检测系统

张鹏， 孙博文， 李唯实， 徐君锋， 孙岩炜

(1.中国信息安全测评中心，北京市 100085；2.北京邮电大学 网络空间安全学院，北京市 100876)

近几年，网络安全案件频发[1]. 这些案件中，攻击者经常使用钓鱼邮件作为入侵政府系统的攻击起点. 例如，蓝宝菇、摩诃草等APT事件均使用钓鱼邮件作为入侵政府内部系统的主要手段，这表明了钓鱼邮件攻击逐渐在网络攻击中占据越来越重要的地位.

与利用软件或者协议漏洞进行攻击的技术手段相比较，钓鱼邮件是一种基于社会工程学的网络入侵手段[2-3]. 攻击者通过发送带有恶意的附件或者链接的邮件，并在在邮件中通过诱导性的语言使人们打开邮件中的恶意附件[4]，或者点击恶意链接来达到其恶意目标[5]. 然而，由于钓鱼邮件的技术涉及到多方面. 因此，以上提及的检测技术不能在对抗环境下对复杂多样的钓鱼邮件进行有效的检测.

本文提出了一种基于LSTM的钓鱼邮件检测方法，检测方法主要分为两部分:一部分为样本扩充算法，通过提出的聚类算法实现基于现有邮件的准确聚类，使得聚类结果可以支撑本文中算法的训练数据. 第二部分为训练模型部分，使用LSTM神经网络根据邮件的正文进行邮件分类. 从而有效实现钓鱼邮件的检测.

1 相关工作

近些年来，钓鱼邮件主要分为两种：一种是基于恶意链接的钓鱼邮件[6-7]，这种邮件通过诱导收件人点击恶意链接，以及带有恶意指向的短链接，或者通过伪造相似域名来攻击收件人；……