作为在军工涉密网络中一种非常具有代表性的木马,摆渡木马通过植入涉密计算机窃取我国政治、经济、军事、文化等方面的涉密信息,并将其存储在U盘这一可移动载体,当U盘连接互联网的计算机,将涉密敏感信息发送到国外服务器,可见其行为特征特殊,常规的被动防御无法对这种特殊的木马进行有效地检测,因此,研究通过内核监控策略与行为特征分析方法相结合的思想,实现通过行为特征对摆渡木马进行防御有一定的意义。本文的研究重点是对摆渡木马行为特征进行获取完成分析判定,从而达到对摆渡木马防御的目的。首先,对现有的摆渡木马防御技术进行了详细研究,同时分析各种行为特征获取及分析方法的优缺点。然后,结合摆渡木马的特殊行为特征进行分析,通过对程序行为操作的内核监控,实现对摆渡木马行为的内核层监控,根据摆渡木马行为监控策略,完成摆渡木马行为过滤及获取。在获取摆渡木马的行为特征基础上,结合行为特征的灰色模糊判定思想,提出了基于行为特征的摆渡木马防御模型,实现对摆渡木马的有效防御。最后,本文搭建了摆渡木马内核层行为监控和行为特征分析的仿真实验平台,对摆渡木马行为监控和行为特征判定方法分别进行仿真实验。验证了对摆渡木马行为监控的有效性,通过分析程序判定实验结果,完成分类实现摆渡木马的判定,表明本文提出的基于行为特征的摆渡木马防御模型的有效性。