随着互联网技术应用的迅速发展，网络与信息安全问题，尤其是来自终端的网络安全问题，日益成为威胁互联网健康发展的因素。在对终端的各种危害之中，可执行恶意代码引起的安全问题尤为突出。本文通过对传统的防御可执行恶意代码的各种机制进行分析与比较，指出被动的防御手段已经不能满足当前安全防御实际的需要。在此基础上，本文提出一个在终端系统构建可执行恶意代码的主动防御体系的解决方案。在充分了解可执行恶意代码传播机理的基础上，本文结合安全操作系统的访问控制和身份验证原则，使用USBKey设备验证用户身份，以进程为核心，为防御可执行恶意代码设计了URPP(User-Role-Process-Permission)访问控制模型。其中对进程的控制是防御可执行恶意代码的关键问题。在对各种实现进程控制的解决方案分析的基础之上，本文选用了在内核层采用hook技术控制进程的方案，并对进程的相关文件进行可信度量，确保进程运行过程可信，达到主动防御可执行恶意代码的目的。为验证模型和方法的有效性，本文在Windows环境下实现了设计方案，通过对防御系统的测试，分析了防御系统的优势和不足，并指出了下一步需要完善的工作。