面对日益严峻的信息安全形势,传统恶意代码检测所使用的静态分析技术,不但检测效率随着恶意软件数量的激增而降低,并且,由于加壳、加密、混淆等技术的运用,其检测有效性也呈下降趋势。动态分析技术通过分析程序运行过程中的行为来对程序的恶意性进行判定,天然地跨过了加壳、加密、混淆等障碍,但是,如何结合沙箱技术有效进行自动分析、如何提高分析效率、如何有效描述程序行为及如何通过行为对程序的恶意性进行分类,就成为亟待研究人员解决的问题。本文立足目前的系统安全形势,在对恶意代码分析研究的基础上,设计并实现了一个恶意程序行为分析及检测系统。具体工作内容如下:1.研究Windows系统下恶意程序的行为,确定使用Windows API作为恶意代码行为研究的基本数据;并对Windows API依据行为效果进行筛选、分类,给出各类中对行为影响显著、语义特征突出的API,如CreateFile、CreateProcess、RegOpenKey等;2.研究Cuckoo平台API获取情况,运用领域专用语言根据Cuckoo约束实现对所给出的Windows API的HOOK,以有效获取程序运行时数据;3.针对恶意行为特征,总结恶意行为模式,给出行为模型、辅助行为模型以及恶意性行为模型。基于所获取的样本运行时数据,结合上述模型实现对样本行为的自动化分析,并依据行为类别归纳行为分析结果,生成行为分析报告;4.针对样本行为分析结果,结合反映行为具体操作内容的API参数,本文抽象出能够反应程序行为的629维离散特征向量,运用SVM算法,实现了凭借样本行为对其恶意性进行分类的目的;5.本文实现的平台具有良好的拓展性,根据对恶意性代码的不断研究,可以不断根据本文所设计的策略对样本运行时数据、行为模型、离散特征进行拓展,以提高检测率以及丰富样本的行为描述信息。实验表明,本文设计并实现的系统,能够有效获取样本运行时信息并分析样本的行为,基于行为能够有效抽象出行为向量,用于机器学习中对样本进行分类。