随着计算机与互联网技术的快速发展,越来越多的重要信息通过计算机和网络进行存储和传递,带来方便的同时,也潜藏着许多威胁。恶意代码是其中主要的威胁之一,通过窃取机密数据、传播垃圾信息、破坏计算机系统可用性等方式,给用户造成巨大损失。因此,对恶意代码的分析和检测愈加迫切和重要。当前,基于静态分析的恶意代码检测方法容易因代码混淆技术而失效,基于动态分析的方法通过分析程序运行时的行为来捕捉其真实意图,有效避免了这一问题。使用本体对恶意代码动态行为进行建模并用于恶意代码检测,不仅具有很好的应用前景,还有助于理解恶意代码的变化趋势,然而,领域中目前仍然缺乏一个高效地构建恶意代码行为本体的方法。本文针对这一问题,提出了一种使用算法挖掘恶意代码行为知识和构建恶意代码行为本体的方法,并对提出的方法开展了实验研究。通过对恶意代码动态行为特征的深入研究,设计了一种从恶意代码与系统的交互信息中提取特征属性并按照发生频率进行过滤的方法。使用多种算法分别进行了恶意代码家族动态行为知识挖掘的尝试,对关联规则挖掘等算法做了改进以解决在实际应用到行为知识挖掘过程中所出现的问题。对使用各个算法得到的结果进行对比分析,从算法互补性和多样性的角度出发,提出了一种结合决策树算法和改进的关联规则挖掘算法来进行恶意代码家族行为知识挖掘的方法,包括一种通过改造这两种算法来建立多个个体学习器并对之进行集成的方法。与此同时,通过对本体理论和应用的调查研究,针对本体的结构特点,设计了一种恶意代码行为本体的类层次结构以及行为知识的具体表示方法。在此基础上,给出了使用所生成的本体对未知样本进行分析和检测的过程,此过程可以对未知样本做出预测,还可以输出未知样本中的威胁行为信息。综合这些过程,本文建立起了一个完整的恶意代码行为本体自动生成并使用生成的本体进行未知样本分析检测的总流程。通过实验对流程中的方法的有效性做了验证,对实验结果的详细分析表明,本文提出的方法可以用于构建一个有效地建模恶意代码行为特征的本体。