当今,多样化的传播途径和复杂的应用环境给网络蠕虫的快速传播提供了条件。从发现漏洞到对应蠕虫爆发的时间越来越短,从蠕虫爆发到蠕虫被控制的时间越来越长,并且几乎每次蠕虫爆发都会造成的巨大经济损失。事实证明,针对快速传播的网络蠕虫,传统的由人工分析得到蠕虫特征并进行特征匹配的防病毒技术已不能满足网络安全的需要。因此,开展针对未知网络蠕虫自动检测技术的研究具有一定的现实意义和紧迫性。作为研究的理论基础,本文对已有的与蠕虫检测相关的理论知识进行了分析。分析了入侵检测技术;给出了蠕虫和蠕虫特征码的定义,并分析了其独有的特性、功能结构、攻击原理、扫描策略、传播模型。对蠕虫网络流量的特点及与蠕虫流量相似的正常网络应用流量特点进行了分析和区别,给出了蠕虫检测的依据;为了提高检测效率和准确性,对网络流量进行了分类和抽象,设计了用于流量分析的蠕虫传播拓扑图;根据蠕虫检测依据和蠕虫传播拓扑图提出用以实现在早期发现未知蠕虫的多维蠕虫异常检测算法。给出蠕虫特征自动提取的依据,提出了用于从异常流量中提取字符子串并对其进行统计的跳跃式多特征串蠕虫特征自动提取算法;然后对算法的适用范围及灵活性、算法处理蠕虫数据包的模式进行了分析与评价;对子串进行筛选得到特征检测规则。提出了一个用于实现未知蠕虫检测自动化的分布式蠕虫检测及其特征自动提取的系统模型,并进行了简单的系统测试与问题分析。