[本文摘要]

提出一种实用的蠕虫正则表达式特征自动提取方法，该方法由蠕虫传播网络流样本获取、特征树生成、高假阳性特征剔除、特征融合这4步组成。该方法的优点是可输出具有强描述能力的包含“.*”、“.{k}”、“|”、“(c){k}”等元字符的正则表达式特征。基于蜜罐系统(Honeybow)实现了该方法，并针对互联网上数种真实蠕虫进行了实验。实验结果表明，该方法可以准确地提取真实蠕虫的正则表达式特征，可以在蜜罐、蠕虫及恶意代码分析等系统中应用。