根据恶意代码的行为跟踪实现技术的不同大致可分为指令级和轻量级两类。其中指令级方法采用系统调用钩子函数或者设备驱动过滤等技术提取程序行为。