伴随着互联网时代的到来,网络正深刻地影响和改变着人们的日常生活,网络用户数量也同时呈现出井喷式的增长趋势。特别是,“微信”、“微博”等自媒体社交工具的应用普及化,网络用户不仅是网络信息的消费者,更是网络信息的创造者。因此,如何为网络用户更好地服务,并对网络用户的行为进行有效的管理和监督,就成为当前政府、企业和学术界共同关注的热点问题。网络用户行为分析是指对用户上网数据进行统计及分析,从中发现网络用户行为的规律性。通过网络用户行为分析,运营商可改善网络服务质量,防范网络攻击;内容提供商可针对用户偏好提供个性化服务并提供社会舆情探测与分析等。目前,众多学者利用统计学方法、数据挖掘以及机器学习等方法开展了大量的相关研究工作,并取得了丰硕的研究成果。但是,随着网络应用环境的不断扩展和日益演化,网络用户行为分析的需求也呈现出多样化的特点,传统的采用孤立、静态属性来刻画网络用户行为的方法往往会导致用户行为及其属性特征被割裂分析,无法有效地适应日益复杂的网络应用环境。因此,本文从网络用户行为特点出发,深入探索网络用户行为与网络应用场景之间的内在关系、规律和统计学特性,并开展了如下方面的研究工作:（1）提出面向网络用户行为分析的标签自动生成聚类方法。对当前的用户行为聚类方法进行分析,指出其存在通用性不强、不能支持大规模动态数据以及聚类后生成的簇缺少语义特征等问题。针对上述问题,论文将用户行为数据的相关特征与聚类过程融合,并应用潜在因子模型（Latent Factor Model,LFM）、矩阵分解等方法,提出一种在用户行为数据聚类的同时可以自动生成语义明确的簇标签的方法。利用AP聚类算法和DP-means聚类算法,并结合用户行为数据进行测试。测试结果表明本方法无须事先确定用户行为数据规模,在聚类的过程中同时生成簇标签,且聚类的效果和标签语义的准确度也符合用户行为的实际情况,进而证明了本方法的有效性和通用性。（2）提出基于统计学方法的Web用户浏览行为预测模型。传统的网络用户浏览行为预测方法较少考虑数学模型、用户浏览行为、网站分层结构、预测准确率以及系统效率之间的多维关系,进而导致建模过程复杂、系统效率低以及不能很好地支持大规模动态数据等问题。为此,首先设计了基于Hash表的倒排索引结构（Inverted Index Structure based on Hash Table,IIS-HT）,并利用IIS-HT来提高数据的预处理速度;分析Web站点的层次结构特征,利用分层思想来减少网页处理的数量,进而设计了基于Markov模型和Bayesian定理的Web用户浏览行为分层预测模型。描述了模型的设计思想、相关定义、模型框架以及核心构建方法等内容。最后,进行实验分析,实验结果表明在适当的预测准确率前提下,该模型能够在减少预测时所需的候选网页数量的同时提高系统效率,并可以有效地支持大规模数据分析问题。（3）提出基于主成分分析（Principal Component Analysis,PCA）的数据库用户行为异常检测模型。目前,针对数据库系统内部攻击与威胁的检测方法较少,且已有的方法存在检测准确率低,不能很好地支持数据库动态更新,以及通用性差等问题。为此,将数据库用户行为异常检测中的“基于语法”的方法和“基于语境”的方法结合,提出了一种更具通用性的基于PCA的数据库用户行为异常检测模型。利用过采样方法、LOO（Leave-One-Out）以及在线加速等方法对传统PCA方法进行改进,利用该改进的PCA方法对数据库用户的行为特征进行提取,以降低数据维度,进而实现提高检测效率和准确率的目的。给出模型的设计思想、系统框架和详细构建过程。最后,利用相关实验数据进行测试,结果表明本模型能以较高的准确率检测出数据库用户的异常行为。（4）提出基于用户行为的 HTTP DDoS（Distributed Denial of Service,DDoS）攻击检测方法。已有的HTTP DDoS攻击检测方法存在检测模型建模复杂度高和不支持用户动态行为模式等问题。为此,利用可变长度序列状态的离散时间马尔科夫链（Discrete-time Markov Chain with states of variable-length sequences,DTMC-SVLS）的建模复杂度可控和支持动态行为模式的特点,对HTTP DDoS攻击过程中的用户行为进行分析;将用户的HTTP请求序列作为行为特征,并利用DTMC-SVLS分别提取正常用户和待检测用户的行为特征,并对二者进行比较,如果二者的偏离程度超过了规定的阈值,则判定该行为是异常行为。为了验证该方法的有效性,模拟HTTP DDoS攻击数据,并进行实验测试。实验结果表明,本文所提出的方法,建模过程简单,并且在支持用户动态行为模式需求的前提下,有效地提高了检测准确率。