近年来,内部威胁事件屡见不鲜,给企业和个人带来信息泄露、财产损失以及声誉受损等问题。随着数字化转型的加速推进,企业对数据的依赖不断加深,大量敏感信息和核心资源被存储在数字化系统中。内部网络环境愈发复杂,企业面临的内部威胁挑战日益严峻。因此,提高内部威胁检测技术能力对于帮助企业组织保护内部数据,有效防范重大风险具有重要意义。尽管已有众多研究成果,但仍存在一些不足之处:一方面,学习行为序列的模型虽然显著提高了内部威胁检测的性能,但忽略了多天间用户行为的相似性;另一方面,许多研究只关注了单一数据源或数据类型的分析,未能充分利用多源的上下文信息,导致了信息的浪费。针对以上问题,本文主要开展以下三点工作:（1）提出了基于行为属性图的内部威胁检测方法。该方法充分挖掘了单天用户行为之间的时序逻辑,以及用户行为模式在多天之间相似性。首先,基于多源异构的行为日志数据构建行为属性图;然后,采用图表示学习方法同时学习图中的结构信息和节点的属性信息,生成包含两种信息的表示。接着,利用基于注意力机制的长短期记忆网络学习用户会话表示,提取关键信息,实现威胁用户会话的检测。在模型训练过程中,充分考虑了样本不平衡带来的影响,采用了负采样和权重分配策略减轻样本不平衡对结果的影响。实验结果表明,所提出的方法性能与前沿研究相当。（2）提出了基于多特征融合的行为综合评估方法。从特征级融合和决策级融合两方面改进了基于行为属性图的方法,充分利用了用户角色特征、心理特征以及用户会话统计特征,且利用Stacking方法整合多个基学习器的预测结果,有效地平衡了多个模型的优缺点,提高了整体模型的召回率。（3）针对企业内部安全管理的实际需求,以提出的检测算法为核心,设计并实现了内部威胁检测原型系统。本研究完成了系统的整体设计,包括前后端技术选型、系统架构等,并逐一设计了重要的功能模块,包括数据采集与存储、内部威胁检测与预警以及模型评估与更新模块的相应方案。