简介这份资源面向网络安全初学者与机器学习实践者聚焦钓鱼网站与钓鱼邮件的自动识别问题提供一套可运行的建模方案。压缩包共14个文件以10个Python脚本和4个CSV数据集为主整体约339KB脚本覆盖数据预处理、Word2Vec词向量工具、TextCNN、LSTM_CNN、CNN_LSTM及简单神经网络等模型实现CSV则用于存放训练与测试样本。已有241人学习下载说明该方案在入门实战中具有一定参考价值。读者可据此完整走通从URL与邮件文本特征提取、TF-IDF或词嵌入编码到朴素贝叶斯、SVM、随机森林及深度学习模型训练、交叉验证与超参数调优的全流程并借助准确率、召回率、F1与AUC-ROC评估模型表现理解正负样本不平衡时的采样处理思路。目录按数据处理、模型定义与训练脚本分层组织便于对照修改与二次实验适合作为课程设计、安全类项目或自学练手的参考代码。1. 钓鱼邮件识别模型从一封“发票已生成”的邮件说起财务同事转来一封邮件标题是「发票已生成请查收」正文只有一个按钮点进去是一个和公司 OA 登录页几乎一模一样的页面。域名是0a-company.com比真实域名多了一个0。这类邮件每天都会进到收件箱靠人眼一条条看迟早会翻车。建立识别钓鱼网站邮件的机器学习模型要解决的就是把这种判断从「人盯」变成「模型批量打分」输入一封邮件的正文、发件人、链接和 HTML 结构输出一个风险概率超过阈值就进隔离区。这套方案适合两类人一类是手里已经有一批历史邮件、想做内部过滤的运维和安全工程师另一类是刚学完机器学习、想找一个真实二分类任务练手的开发者。它不需要 GPU 集群传统机器学习模型在几万封邮件上就能跑出可用效果深度学习模型则用来处理 HTML 结构和文本语义。下面按「数据怎么来 → 特征怎么抽 → 模型怎么选 → 怎么评估 → 坑在哪」的顺序讲清楚。2. 数据从哪来把邮件变成可训练的样本2.1 公开数据集与自建样本的取舍做钓鱼邮件识别第一道坎不是模型是数据。公开数据集里常见的有 SpamAssassin 邮件语料、Enron 邮件集、Nazario 钓鱼邮件集这些在学术圈被反复使用优点是标注干净、格式统一多为.eml原始邮件缺点是年代偏早很多钓鱼手法已经过时比如现在大量钓鱼邮件用 HTML 邮件伪装成正常通知老数据集里覆盖不足。我一般会两条腿走路公开数据集做基线自建样本做补充。自建样本的来源是公司邮件网关的历史日志把已经确认的钓鱼邮件和正常邮件分别导出成.eml文件。这里有个血泪经验不要用「用户举报」作为唯一正样本来源因为用户只举报自己认出来的漏报的那部分恰恰是模型最该学会的。更可靠的做法是结合沙箱分析结果和域名黑名单做交叉标注。样本量上二分类任务每类至少 2000 封起步正负样本比例控制在 1:3 到 1:1 之间。如果正样本太少可以用 SMOTE 做 oversampling但要注意别在时间序列上泄漏——同一封钓鱼邮件的多个变体不能同时出现在训练集和测试集。2.2 用 Python 解析 .eml 并抽取基础字段拿到.eml文件后第一步是解析。Python 标准库email就能干这件事不需要额外依赖。下面这段代码把一封邮件拆成发件人、主题、正文、链接列表四个字段import email from email import policy from email.parser import BytesParser import re def parse_eml(file_path): with open(file_path, rb) as f: msg BytesParser(policypolicy.default).parse(f) # 发件人域名比完整地址更有区分度 from_addr msg.get(From, ) from_domain from_addr.split()[-1].strip().lower() if in from_addr else subject msg.get(Subject, ) # 优先取 text/plain没有则取 text/html body if msg.is_multipart(): for part in msg.walk(): ctype part.get_content_type() if ctype text/plain: body part.get_content() break elif ctype text/html and not body: body part.get_content() else: body msg.get_content() # 抽取所有 http/https 链接 links re.findall(rhttps?://[^\s\], str(body)) return { from_domain: from_domain, subject: subject, body: body, links: links }逻辑说明policy.default让解析器自动处理编码问题避免中文主题乱码。发件人只取域名而不是完整地址是因为钓鱼邮件经常伪造显示名但真实发件域名往往暴露问题。正文优先取纯文本因为 HTML 里夹杂大量样式标签直接喂给模型会引入噪声。链接用正则粗抽后续再做域名级特征。参数说明msg.walk()会遍历所有 MIME 部分遇到第一个text/plain就停这是为了控制正文长度。如果邮件只有 HTML 正文就退而取 HTML但后续需要额外做标签清洗。链接正则里的[^\s\]是为了在遇到空格、尖括号、引号时截断避免把后面的文字也吞进 URL。2.3 标签定义与数据集划分的注意点标签只有两类phishing1legit0。但「钓鱼」的边界要提前定清楚是只要包含可疑链接就算还是必须链接指向仿冒页面才算我的做法是分两级——一级是「可疑邮件」包含黑名单域名或已知钓鱼模板二级是「确认钓鱼」沙箱确认页面有凭证收集行为。训练时先用一级标签扩大样本再用二级标签做精调。数据集划分不能随机分。钓鱼邮件有强时间聚集性同一波攻击的邮件特征高度相似。如果随机划分测试集里会出现和训练集几乎一样的样本准确率虚高到 99%上线就翻车。正确做法是按时间切分用前 80% 时间的邮件做训练后 20% 做测试。这样评估出来的指标才接近真实场景。3. 特征工程让模型看见钓鱼邮件的破绽3.1 文本特征TF-IDF 与字符级 n-gram 的配合邮件正文和主题是纯文本最直接的表示方法是 TF-IDF。scikit-learn的TfidfVectorizer几行就能搞定但参数要调。钓鱼邮件里有一些高频词比如「验证」「账户」「紧急」「点击」这些词在正常邮件里也有所以不能只看词频要看 TF-IDF 的加权结果。from sklearn.feature_extraction.text import TfidfVectorizer from sklearn.pipeline import FeatureUnion # 词级 TF-IDF捕捉完整词汇 word_vec TfidfVectorizer( analyzerword, ngram_range(1, 2), # 一元和二元词组 max_features10000, # 控制维度 min_df3, # 至少出现3次才保留 sublinear_tfTrue # 对高频词做对数缩放 ) # 字符级 TF-IDF捕捉拼写变体和混淆字符 char_vec TfidfVectorizer( analyzerchar_wb, ngram_range(3, 5), # 3到5个字符的片段 max_features8000, min_df3, sublinear_tfTrue ) # 拼接两组特征 combined FeatureUnion([ (word, word_vec), (char, char_vec) ])逻辑说明词级特征擅长捕捉「verify your account」这类完整短语字符级特征擅长捕捉「ver1fy」「acc0unt」这种用数字替换字母的混淆写法。char_wb按词边界切分避免跨词产生无意义片段。sublinear_tf对高频词做对数压缩防止「the」「a」这类词主导权重。参数说明max_features设 10000 和 8000 是经验值样本量在 1 万封以下时够用再大容易过拟合。min_df3过滤掉只出现一两次的稀有词这些词往往是噪声。ngram_range上限不要超过 5否则特征维度爆炸训练时间成倍增加。3.2 链接与域名特征钓鱼邮件最诚实的部分邮件正文可以伪装但链接指向的域名很难完全隐藏。从链接里能抽出十几维特征域名长度、是否包含 IP 地址、子域名层数、是否使用短链接、顶级域名是否可疑比如.xyz、.top、路径里是否包含login、verify、secure等词。这些特征用规则就能算不需要模型。from urllib.parse import urlparse import re def extract_url_features(url): parsed urlparse(url) domain parsed.netloc.lower() path parsed.path.lower() features { url_len: len(url), domain_len: len(domain), num_dots: domain.count(.), has_ip: 1 if re.match(r\d\.\d\.\d\.\d, domain) else 0, num_hyphens: domain.count(-), path_len: len(path), has_login: 1 if login in path or signin in path else 0, has_verify: 1 if verify in path or confirm in path else 0, suspicious_tld: 1 if domain.endswith((.xyz, .top, .club, .work)) else 0, num_subdomains: max(0, domain.count(.) - 1) } return features逻辑说明has_ip是强特征正规服务极少直接用 IP 做登录页。num_hyphens和num_subdomains反映域名是否刻意模仿比如secure-login.company-verify.com这种结构。suspicious_tld不是绝对判据但作为组合特征的一部分有区分度。参数说明可疑顶级域名列表可以按实际遇到的攻击调整不要写死。路径关键词只匹配小写因为 URL 路径大小写敏感但钓鱼页面通常用小写。num_subdomains用count(.) - 1是因为域名至少有一个点减掉顶级域名部分。3.3 HTML 结构特征隐藏表单和混淆脚本很多钓鱼邮件是 HTML 邮件正文里嵌了表单和脚本。正常营销邮件也可能有 HTML但钓鱼邮件的 HTML 有几个典型特征表单的action指向外部域名、有隐藏的input字段、用 JavaScript 动态拼接链接、用 base64 编码图片掩盖文字。这些特征需要解析 HTML 才能拿到。from bs4 import BeautifulSoup def extract_html_features(html_content): soup BeautifulSoup(html_content, html.parser) forms soup.find_all(form) form_actions [f.get(action, ) for f in forms] external_actions sum(1 for a in form_actions if a.startswith(http) and company.com not in a) hidden_inputs len(soup.find_all(input, {type: hidden})) scripts len(soup.find_all(script)) iframes len(soup.find_all(iframe)) # 检测 base64 图片钓鱼邮件常用图片代替文字绕过文本检测 base64_imgs len([img for img in soup.find_all(img) if img.get(src, ).startswith(data:image)]) return { num_forms: len(forms), external_form_actions: external_actions, num_hidden_inputs: hidden_inputs, num_scripts: scripts, num_iframes: iframes, num_base64_imgs: base64_imgs }逻辑说明external_form_actions是最关键的 HTML 特征正常企业邮件不会把表单提交到外部域名。num_hidden_inputs多不一定是钓鱼但结合外部 action 就很可疑。num_base64_imgs高说明邮件刻意用图片替代文字常见于绕过关键词过滤。参数说明company.com要替换成实际保护的域名。html.parser是 Python 内置解析器速度够用不需要额外装lxml。如果 HTML 不完整导致解析失败用try/except包住返回全零特征不要让单封邮件打断整个流程。4. 模型选型与训练从逻辑回归到 LightGBM4.1 为什么先用逻辑回归跑基线特征工程做完后不要一上来就上深度学习。逻辑回归在这个任务上表现不差而且可解释性强——每个特征的权重直接告诉你它对判断的贡献。用scikit-learn的LogisticRegression配合class_weightbalanced处理样本不均衡几分钟就能跑出第一版结果。from sklearn.linear_model import LogisticRegression from sklearn.model_selection import TimeSeriesSplit from sklearn.metrics import classification_report # 假设 X_train, y_train 已经准备好 clf LogisticRegression( C1.0, # 正则化强度越小越强 class_weightbalanced, # 自动调整类别权重 max_iter1000, # 保证收敛 solverliblinear # 小数据集上用 liblinear ) clf.fit(X_train, y_train) y_pred clf.predict(X_test) print(classification_report(y_test, y_pred))逻辑说明class_weightbalanced让模型对少数类钓鱼邮件更敏感因为漏报一封钓鱼邮件的代价远大于误拦一封正常邮件。solverliblinear在样本量几万以下时比lbfgs更稳。C1.0是默认值如果发现过拟合就降到 0.1欠拟合就升到 10。参数说明max_iter1000是为了避免「未收敛」警告逻辑回归在特征维度高时可能需要更多迭代。评估时重点看钓鱼类的 recall而不是整体 accuracy——如果 95% 邮件是正常的全猜正常也有 95% 准确率但钓鱼邮件一封没抓到。4.2 LightGBM 处理高维稀疏特征逻辑回归跑通后换 LightGBM 通常能提升 3 到 5 个点的 recall。LightGBM 对高维稀疏特征友好训练速度快还能输出特征重要性。参数上重点调num_leaves、learning_rate和scale_pos_weight。import lightgbm as lgb params { objective: binary, metric: auc, num_leaves: 63, # 控制树复杂度 learning_rate: 0.05, # 小学习率配合多轮迭代 feature_fraction: 0.8, # 每棵树随机选80%特征 bagging_fraction: 0.8, # 每轮随机选80%样本 bagging_freq: 5, scale_pos_weight: 3, # 正样本权重按正负比调整 verbose: -1 } dtrain lgb.Dataset(X_train, labely_train) dval lgb.Dataset(X_test, labely_test, referencedtrain) model lgb.train( params, dtrain, num_boost_round500, valid_sets[dval], callbacks[lgb.early_stopping(50), lgb.log_evaluation(100)] )逻辑说明scale_pos_weight3表示正样本权重是负样本的 3 倍具体值按训练集正负比例设比如正负比 1:3 就设 3。early_stopping(50)在验证集 AUC 连续 50 轮不提升时停止防止过拟合。feature_fraction和bagging_fraction都设 0.8 是常用起点数据量小可以降到 0.6。参数说明num_leaves63是 LightGBM 的默认值数据量小于 1 万时可以降到 31。learning_rate0.05配合 500 轮是比较稳的组合如果追求更快收敛可以设 0.1但容易过拟合。num_boost_round500是上限实际轮数由 early stopping 决定。4.3 阈值选择为什么 0.5 不是好阈值模型输出的是概率默认 0.5 作为分类阈值。但在钓鱼邮件场景漏报的代价远大于误报。我一般会把阈值降到 0.3 甚至 0.2让更多可疑邮件进隔离区再由人工复核。阈值不能拍脑袋定要看业务能承受多少误报。具体做法是画 precision-recall 曲线找到 recall 达到 0.95 时对应的 precision。如果 precision 还有 0.7 以上说明阈值可以接受。如果 precision 掉到 0.3说明特征还不够需要补数据或加特征而不是硬调阈值。from sklearn.metrics import precision_recall_curve y_proba model.predict(X_test) precision, recall, thresholds precision_recall_curve(y_test, y_proba) # 找到 recall 0.95 的最小阈值 target_recall 0.95 idx next(i for i, r in enumerate(recall) if r target_recall) best_threshold thresholds[idx] print(f阈值: {best_threshold:.3f}, precision: {precision[idx]:.3f})逻辑说明precision_recall_curve返回的thresholds长度比precision和recall少 1所以用thresholds[idx]时要注意索引对齐。实际部署时把阈值写进配置文件不要硬编码在代码里方便后续调整。参数说明target_recall0.95是起点如果业务要求更高可以设 0.98但 precision 会明显下降。这个值需要和业务方确认不是技术单方面能定的。5. 避坑与排查那些让模型上线就翻车的细节5.1 现象测试集准确率 99%上线后漏报一半原因随机划分数据集导致训练集和测试集有大量同源样本。钓鱼邮件有强时间聚集性同一波攻击的邮件几乎一模一样随机划分会让测试集「见过」训练集里的变体。解决按时间切分数据集用前 80% 时间做训练后 20% 做测试。如果数据量够还可以做滚动窗口验证用第 1 到 3 月训练预测第 4 月再用 2 到 4 月训练预测 5 月取多次结果的平均值。5.2 现象模型把「发票」「会议邀请」全部判为钓鱼原因训练集里正样本大量包含这些词模型学到了虚假关联。钓鱼邮件确实常用「发票」「会议邀请」做诱饵但正常邮件也用这些词。解决检查特征重要性如果某个词权重异常高把它加入停用词表或者用 TF-IDF 的max_df参数过滤掉在正负样本中都高频的词。更根本的办法是补充正常邮件样本让模型看到这些词在两类里都出现。5.3 现象HTML 邮件解析报错整个批次中断原因部分邮件 HTML 不完整或者编码声明和实际编码不一致BeautifulSoup解析时抛异常。解决在解析函数外层加try/except单封邮件解析失败时返回全零特征并记录日志。不要因为一封坏邮件让整个训练流程挂掉。同时检查.eml文件的编码用chardet检测实际编码后再解码。5.4 现象LightGBM 训练到一半内存爆了原因TF-IDF 特征维度太高加上字符级 n-gram 后维度可能到几万LightGBM 构建直方图时内存占用随特征数线性增长。解决用scipy.sparse存储特征矩阵LightGBM 原生支持稀疏输入。如果还爆降低max_features或者先用SelectKBest做特征选择保留卡方值最高的 5000 个特征。另外num_leaves不要设太大63 以上在小数据集上收益递减但内存翻倍。5.5 现象模型对新型钓鱼邮件完全失效原因钓鱼手法在进化训练集里的特征覆盖不到新套路。比如最近流行的「二维码钓鱼」邮件正文没有链接只有一个二维码图片所有链接特征全为零。解决建立定期更新机制每周把新确认的钓鱼邮件加入训练集重新训练模型。同时保留规则引擎作为兜底比如「邮件包含二维码图片且发件域名注册时间小于 30 天」这种规则模型没学到但规则能拦住。模型和规则不是二选一是互补。6. 进阶技巧用 SHAP 解释模型并做人工复核模型上线后最常被问到的问题是「为什么这封邮件被判为钓鱼」。如果答不上来运维不敢直接隔离业务方也不服。SHAP 能给出每封邮件的特征贡献把黑匣子变成可解释的判据。import shap # 用 LightGBM 模型做解释 explainer shap.TreeExplainer(model) shap_values explainer.shap_values(X_test[:100]) # 查看单封邮件的特征贡献 sample_idx 0 shap.force_plot( explainer.expected_value, shap_values[sample_idx], X_test.iloc[sample_idx] if hasattr(X_test, iloc) else X_test[sample_idx], feature_namesfeature_names )逻辑说明TreeExplainer对树模型有精确的 SHAP 值计算速度比KernelExplainer快几个数量级。shap_values的每一行对应一个样本每个值表示该特征把预测概率推高或拉低了多少。正贡献最大的特征就是「定罪证据」。参数说明X_test[:100]只取前 100 个样本做解释全量计算没必要。feature_names要和训练时的特征顺序一致否则解释会错位。实际部署时把 SHAP 值最高的 3 个特征和对应值写进隔离通知邮件人工复核时一眼就能看到模型为什么报警。我自己的习惯是每周抽 20 封模型判为钓鱼但人工复核为正常的邮件看 SHAP 值里哪个特征贡献最大。如果连续几周都是同一个特征在误导模型就针对性地补样本或调特征。模型不是训完就完事是一个需要持续喂养和修正的系统。这套流程跑顺之后钓鱼邮件的漏报率能从纯人工的 30% 降到 5% 以下误报控制在 2% 以内人力只需要处理隔离区里的少量复核。希望帮到你。本文还有配套的精品资源点击获取 基于机器学习的钓鱼邮件识别模型：从数据到部署的完整指南
简介这份资源面向网络安全初学者与机器学习实践者聚焦钓鱼网站与钓鱼邮件的自动识别问题提供一套可运行的建模方案。压缩包共14个文件以10个Python脚本和4个CSV数据集为主整体约339KB脚本覆盖数据预处理、Word2Vec词向量工具、TextCNN、LSTM_CNN、CNN_LSTM及简单神经网络等模型实现CSV则用于存放训练与测试样本。已有241人学习下载说明该方案在入门实战中具有一定参考价值。读者可据此完整走通从URL与邮件文本特征提取、TF-IDF或词嵌入编码到朴素贝叶斯、SVM、随机森林及深度学习模型训练、交叉验证与超参数调优的全流程并借助准确率、召回率、F1与AUC-ROC评估模型表现理解正负样本不平衡时的采样处理思路。目录按数据处理、模型定义与训练脚本分层组织便于对照修改与二次实验适合作为课程设计、安全类项目或自学练手的参考代码。1. 钓鱼邮件识别模型从一封“发票已生成”的邮件说起财务同事转来一封邮件标题是「发票已生成请查收」正文只有一个按钮点进去是一个和公司 OA 登录页几乎一模一样的页面。域名是0a-company.com比真实域名多了一个0。这类邮件每天都会进到收件箱靠人眼一条条看迟早会翻车。建立识别钓鱼网站邮件的机器学习模型要解决的就是把这种判断从「人盯」变成「模型批量打分」输入一封邮件的正文、发件人、链接和 HTML 结构输出一个风险概率超过阈值就进隔离区。这套方案适合两类人一类是手里已经有一批历史邮件、想做内部过滤的运维和安全工程师另一类是刚学完机器学习、想找一个真实二分类任务练手的开发者。它不需要 GPU 集群传统机器学习模型在几万封邮件上就能跑出可用效果深度学习模型则用来处理 HTML 结构和文本语义。下面按「数据怎么来 → 特征怎么抽 → 模型怎么选 → 怎么评估 → 坑在哪」的顺序讲清楚。2. 数据从哪来把邮件变成可训练的样本2.1 公开数据集与自建样本的取舍做钓鱼邮件识别第一道坎不是模型是数据。公开数据集里常见的有 SpamAssassin 邮件语料、Enron 邮件集、Nazario 钓鱼邮件集这些在学术圈被反复使用优点是标注干净、格式统一多为.eml原始邮件缺点是年代偏早很多钓鱼手法已经过时比如现在大量钓鱼邮件用 HTML 邮件伪装成正常通知老数据集里覆盖不足。我一般会两条腿走路公开数据集做基线自建样本做补充。自建样本的来源是公司邮件网关的历史日志把已经确认的钓鱼邮件和正常邮件分别导出成.eml文件。这里有个血泪经验不要用「用户举报」作为唯一正样本来源因为用户只举报自己认出来的漏报的那部分恰恰是模型最该学会的。更可靠的做法是结合沙箱分析结果和域名黑名单做交叉标注。样本量上二分类任务每类至少 2000 封起步正负样本比例控制在 1:3 到 1:1 之间。如果正样本太少可以用 SMOTE 做 oversampling但要注意别在时间序列上泄漏——同一封钓鱼邮件的多个变体不能同时出现在训练集和测试集。2.2 用 Python 解析 .eml 并抽取基础字段拿到.eml文件后第一步是解析。Python 标准库email就能干这件事不需要额外依赖。下面这段代码把一封邮件拆成发件人、主题、正文、链接列表四个字段import email from email import policy from email.parser import BytesParser import re def parse_eml(file_path): with open(file_path, rb) as f: msg BytesParser(policypolicy.default).parse(f) # 发件人域名比完整地址更有区分度 from_addr msg.get(From, ) from_domain from_addr.split()[-1].strip().lower() if in from_addr else subject msg.get(Subject, ) # 优先取 text/plain没有则取 text/html body if msg.is_multipart(): for part in msg.walk(): ctype part.get_content_type() if ctype text/plain: body part.get_content() break elif ctype text/html and not body: body part.get_content() else: body msg.get_content() # 抽取所有 http/https 链接 links re.findall(rhttps?://[^\s\], str(body)) return { from_domain: from_domain, subject: subject, body: body, links: links }逻辑说明policy.default让解析器自动处理编码问题避免中文主题乱码。发件人只取域名而不是完整地址是因为钓鱼邮件经常伪造显示名但真实发件域名往往暴露问题。正文优先取纯文本因为 HTML 里夹杂大量样式标签直接喂给模型会引入噪声。链接用正则粗抽后续再做域名级特征。参数说明msg.walk()会遍历所有 MIME 部分遇到第一个text/plain就停这是为了控制正文长度。如果邮件只有 HTML 正文就退而取 HTML但后续需要额外做标签清洗。链接正则里的[^\s\]是为了在遇到空格、尖括号、引号时截断避免把后面的文字也吞进 URL。2.3 标签定义与数据集划分的注意点标签只有两类phishing1legit0。但「钓鱼」的边界要提前定清楚是只要包含可疑链接就算还是必须链接指向仿冒页面才算我的做法是分两级——一级是「可疑邮件」包含黑名单域名或已知钓鱼模板二级是「确认钓鱼」沙箱确认页面有凭证收集行为。训练时先用一级标签扩大样本再用二级标签做精调。数据集划分不能随机分。钓鱼邮件有强时间聚集性同一波攻击的邮件特征高度相似。如果随机划分测试集里会出现和训练集几乎一样的样本准确率虚高到 99%上线就翻车。正确做法是按时间切分用前 80% 时间的邮件做训练后 20% 做测试。这样评估出来的指标才接近真实场景。3. 特征工程让模型看见钓鱼邮件的破绽3.1 文本特征TF-IDF 与字符级 n-gram 的配合邮件正文和主题是纯文本最直接的表示方法是 TF-IDF。scikit-learn的TfidfVectorizer几行就能搞定但参数要调。钓鱼邮件里有一些高频词比如「验证」「账户」「紧急」「点击」这些词在正常邮件里也有所以不能只看词频要看 TF-IDF 的加权结果。from sklearn.feature_extraction.text import TfidfVectorizer from sklearn.pipeline import FeatureUnion # 词级 TF-IDF捕捉完整词汇 word_vec TfidfVectorizer( analyzerword, ngram_range(1, 2), # 一元和二元词组 max_features10000, # 控制维度 min_df3, # 至少出现3次才保留 sublinear_tfTrue # 对高频词做对数缩放 ) # 字符级 TF-IDF捕捉拼写变体和混淆字符 char_vec TfidfVectorizer( analyzerchar_wb, ngram_range(3, 5), # 3到5个字符的片段 max_features8000, min_df3, sublinear_tfTrue ) # 拼接两组特征 combined FeatureUnion([ (word, word_vec), (char, char_vec) ])逻辑说明词级特征擅长捕捉「verify your account」这类完整短语字符级特征擅长捕捉「ver1fy」「acc0unt」这种用数字替换字母的混淆写法。char_wb按词边界切分避免跨词产生无意义片段。sublinear_tf对高频词做对数压缩防止「the」「a」这类词主导权重。参数说明max_features设 10000 和 8000 是经验值样本量在 1 万封以下时够用再大容易过拟合。min_df3过滤掉只出现一两次的稀有词这些词往往是噪声。ngram_range上限不要超过 5否则特征维度爆炸训练时间成倍增加。3.2 链接与域名特征钓鱼邮件最诚实的部分邮件正文可以伪装但链接指向的域名很难完全隐藏。从链接里能抽出十几维特征域名长度、是否包含 IP 地址、子域名层数、是否使用短链接、顶级域名是否可疑比如.xyz、.top、路径里是否包含login、verify、secure等词。这些特征用规则就能算不需要模型。from urllib.parse import urlparse import re def extract_url_features(url): parsed urlparse(url) domain parsed.netloc.lower() path parsed.path.lower() features { url_len: len(url), domain_len: len(domain), num_dots: domain.count(.), has_ip: 1 if re.match(r\d\.\d\.\d\.\d, domain) else 0, num_hyphens: domain.count(-), path_len: len(path), has_login: 1 if login in path or signin in path else 0, has_verify: 1 if verify in path or confirm in path else 0, suspicious_tld: 1 if domain.endswith((.xyz, .top, .club, .work)) else 0, num_subdomains: max(0, domain.count(.) - 1) } return features逻辑说明has_ip是强特征正规服务极少直接用 IP 做登录页。num_hyphens和num_subdomains反映域名是否刻意模仿比如secure-login.company-verify.com这种结构。suspicious_tld不是绝对判据但作为组合特征的一部分有区分度。参数说明可疑顶级域名列表可以按实际遇到的攻击调整不要写死。路径关键词只匹配小写因为 URL 路径大小写敏感但钓鱼页面通常用小写。num_subdomains用count(.) - 1是因为域名至少有一个点减掉顶级域名部分。3.3 HTML 结构特征隐藏表单和混淆脚本很多钓鱼邮件是 HTML 邮件正文里嵌了表单和脚本。正常营销邮件也可能有 HTML但钓鱼邮件的 HTML 有几个典型特征表单的action指向外部域名、有隐藏的input字段、用 JavaScript 动态拼接链接、用 base64 编码图片掩盖文字。这些特征需要解析 HTML 才能拿到。from bs4 import BeautifulSoup def extract_html_features(html_content): soup BeautifulSoup(html_content, html.parser) forms soup.find_all(form) form_actions [f.get(action, ) for f in forms] external_actions sum(1 for a in form_actions if a.startswith(http) and company.com not in a) hidden_inputs len(soup.find_all(input, {type: hidden})) scripts len(soup.find_all(script)) iframes len(soup.find_all(iframe)) # 检测 base64 图片钓鱼邮件常用图片代替文字绕过文本检测 base64_imgs len([img for img in soup.find_all(img) if img.get(src, ).startswith(data:image)]) return { num_forms: len(forms), external_form_actions: external_actions, num_hidden_inputs: hidden_inputs, num_scripts: scripts, num_iframes: iframes, num_base64_imgs: base64_imgs }逻辑说明external_form_actions是最关键的 HTML 特征正常企业邮件不会把表单提交到外部域名。num_hidden_inputs多不一定是钓鱼但结合外部 action 就很可疑。num_base64_imgs高说明邮件刻意用图片替代文字常见于绕过关键词过滤。参数说明company.com要替换成实际保护的域名。html.parser是 Python 内置解析器速度够用不需要额外装lxml。如果 HTML 不完整导致解析失败用try/except包住返回全零特征不要让单封邮件打断整个流程。4. 模型选型与训练从逻辑回归到 LightGBM4.1 为什么先用逻辑回归跑基线特征工程做完后不要一上来就上深度学习。逻辑回归在这个任务上表现不差而且可解释性强——每个特征的权重直接告诉你它对判断的贡献。用scikit-learn的LogisticRegression配合class_weightbalanced处理样本不均衡几分钟就能跑出第一版结果。from sklearn.linear_model import LogisticRegression from sklearn.model_selection import TimeSeriesSplit from sklearn.metrics import classification_report # 假设 X_train, y_train 已经准备好 clf LogisticRegression( C1.0, # 正则化强度越小越强 class_weightbalanced, # 自动调整类别权重 max_iter1000, # 保证收敛 solverliblinear # 小数据集上用 liblinear ) clf.fit(X_train, y_train) y_pred clf.predict(X_test) print(classification_report(y_test, y_pred))逻辑说明class_weightbalanced让模型对少数类钓鱼邮件更敏感因为漏报一封钓鱼邮件的代价远大于误拦一封正常邮件。solverliblinear在样本量几万以下时比lbfgs更稳。C1.0是默认值如果发现过拟合就降到 0.1欠拟合就升到 10。参数说明max_iter1000是为了避免「未收敛」警告逻辑回归在特征维度高时可能需要更多迭代。评估时重点看钓鱼类的 recall而不是整体 accuracy——如果 95% 邮件是正常的全猜正常也有 95% 准确率但钓鱼邮件一封没抓到。4.2 LightGBM 处理高维稀疏特征逻辑回归跑通后换 LightGBM 通常能提升 3 到 5 个点的 recall。LightGBM 对高维稀疏特征友好训练速度快还能输出特征重要性。参数上重点调num_leaves、learning_rate和scale_pos_weight。import lightgbm as lgb params { objective: binary, metric: auc, num_leaves: 63, # 控制树复杂度 learning_rate: 0.05, # 小学习率配合多轮迭代 feature_fraction: 0.8, # 每棵树随机选80%特征 bagging_fraction: 0.8, # 每轮随机选80%样本 bagging_freq: 5, scale_pos_weight: 3, # 正样本权重按正负比调整 verbose: -1 } dtrain lgb.Dataset(X_train, labely_train) dval lgb.Dataset(X_test, labely_test, referencedtrain) model lgb.train( params, dtrain, num_boost_round500, valid_sets[dval], callbacks[lgb.early_stopping(50), lgb.log_evaluation(100)] )逻辑说明scale_pos_weight3表示正样本权重是负样本的 3 倍具体值按训练集正负比例设比如正负比 1:3 就设 3。early_stopping(50)在验证集 AUC 连续 50 轮不提升时停止防止过拟合。feature_fraction和bagging_fraction都设 0.8 是常用起点数据量小可以降到 0.6。参数说明num_leaves63是 LightGBM 的默认值数据量小于 1 万时可以降到 31。learning_rate0.05配合 500 轮是比较稳的组合如果追求更快收敛可以设 0.1但容易过拟合。num_boost_round500是上限实际轮数由 early stopping 决定。4.3 阈值选择为什么 0.5 不是好阈值模型输出的是概率默认 0.5 作为分类阈值。但在钓鱼邮件场景漏报的代价远大于误报。我一般会把阈值降到 0.3 甚至 0.2让更多可疑邮件进隔离区再由人工复核。阈值不能拍脑袋定要看业务能承受多少误报。具体做法是画 precision-recall 曲线找到 recall 达到 0.95 时对应的 precision。如果 precision 还有 0.7 以上说明阈值可以接受。如果 precision 掉到 0.3说明特征还不够需要补数据或加特征而不是硬调阈值。from sklearn.metrics import precision_recall_curve y_proba model.predict(X_test) precision, recall, thresholds precision_recall_curve(y_test, y_proba) # 找到 recall 0.95 的最小阈值 target_recall 0.95 idx next(i for i, r in enumerate(recall) if r target_recall) best_threshold thresholds[idx] print(f阈值: {best_threshold:.3f}, precision: {precision[idx]:.3f})逻辑说明precision_recall_curve返回的thresholds长度比precision和recall少 1所以用thresholds[idx]时要注意索引对齐。实际部署时把阈值写进配置文件不要硬编码在代码里方便后续调整。参数说明target_recall0.95是起点如果业务要求更高可以设 0.98但 precision 会明显下降。这个值需要和业务方确认不是技术单方面能定的。5. 避坑与排查那些让模型上线就翻车的细节5.1 现象测试集准确率 99%上线后漏报一半原因随机划分数据集导致训练集和测试集有大量同源样本。钓鱼邮件有强时间聚集性同一波攻击的邮件几乎一模一样随机划分会让测试集「见过」训练集里的变体。解决按时间切分数据集用前 80% 时间做训练后 20% 做测试。如果数据量够还可以做滚动窗口验证用第 1 到 3 月训练预测第 4 月再用 2 到 4 月训练预测 5 月取多次结果的平均值。5.2 现象模型把「发票」「会议邀请」全部判为钓鱼原因训练集里正样本大量包含这些词模型学到了虚假关联。钓鱼邮件确实常用「发票」「会议邀请」做诱饵但正常邮件也用这些词。解决检查特征重要性如果某个词权重异常高把它加入停用词表或者用 TF-IDF 的max_df参数过滤掉在正负样本中都高频的词。更根本的办法是补充正常邮件样本让模型看到这些词在两类里都出现。5.3 现象HTML 邮件解析报错整个批次中断原因部分邮件 HTML 不完整或者编码声明和实际编码不一致BeautifulSoup解析时抛异常。解决在解析函数外层加try/except单封邮件解析失败时返回全零特征并记录日志。不要因为一封坏邮件让整个训练流程挂掉。同时检查.eml文件的编码用chardet检测实际编码后再解码。5.4 现象LightGBM 训练到一半内存爆了原因TF-IDF 特征维度太高加上字符级 n-gram 后维度可能到几万LightGBM 构建直方图时内存占用随特征数线性增长。解决用scipy.sparse存储特征矩阵LightGBM 原生支持稀疏输入。如果还爆降低max_features或者先用SelectKBest做特征选择保留卡方值最高的 5000 个特征。另外num_leaves不要设太大63 以上在小数据集上收益递减但内存翻倍。5.5 现象模型对新型钓鱼邮件完全失效原因钓鱼手法在进化训练集里的特征覆盖不到新套路。比如最近流行的「二维码钓鱼」邮件正文没有链接只有一个二维码图片所有链接特征全为零。解决建立定期更新机制每周把新确认的钓鱼邮件加入训练集重新训练模型。同时保留规则引擎作为兜底比如「邮件包含二维码图片且发件域名注册时间小于 30 天」这种规则模型没学到但规则能拦住。模型和规则不是二选一是互补。6. 进阶技巧用 SHAP 解释模型并做人工复核模型上线后最常被问到的问题是「为什么这封邮件被判为钓鱼」。如果答不上来运维不敢直接隔离业务方也不服。SHAP 能给出每封邮件的特征贡献把黑匣子变成可解释的判据。import shap # 用 LightGBM 模型做解释 explainer shap.TreeExplainer(model) shap_values explainer.shap_values(X_test[:100]) # 查看单封邮件的特征贡献 sample_idx 0 shap.force_plot( explainer.expected_value, shap_values[sample_idx], X_test.iloc[sample_idx] if hasattr(X_test, iloc) else X_test[sample_idx], feature_namesfeature_names )逻辑说明TreeExplainer对树模型有精确的 SHAP 值计算速度比KernelExplainer快几个数量级。shap_values的每一行对应一个样本每个值表示该特征把预测概率推高或拉低了多少。正贡献最大的特征就是「定罪证据」。参数说明X_test[:100]只取前 100 个样本做解释全量计算没必要。feature_names要和训练时的特征顺序一致否则解释会错位。实际部署时把 SHAP 值最高的 3 个特征和对应值写进隔离通知邮件人工复核时一眼就能看到模型为什么报警。我自己的习惯是每周抽 20 封模型判为钓鱼但人工复核为正常的邮件看 SHAP 值里哪个特征贡献最大。如果连续几周都是同一个特征在误导模型就针对性地补样本或调特征。模型不是训完就完事是一个需要持续喂养和修正的系统。这套流程跑顺之后钓鱼邮件的漏报率能从纯人工的 30% 降到 5% 以下误报控制在 2% 以内人力只需要处理隔离区里的少量复核。希望帮到你。本文还有配套的精品资源点击获取