本发明涉及信息安全技术领域，具体地来说为一种用于即时通讯蠕虫的检测方法。本发明分为两个步骤：首先，在学习阶段通过特征函数，将普通用户的行为和即时通讯蠕虫行为区分开来。然后，在检测阶段，通过简单马氏距离计算当前网络流量与学习数据的相似度。为了使得检测机制对站点访问模式不敏感，通过无参数CUSUM算法对相似度进行计算，当新的网络流量的距离超过了算法设定的允许距离时生成报警。