近年来，网络安全问题日益严重，而在众多的安全问题中，由内部产生的安全隐患占很大的比例，包括内部人员的恶意破坏，机密信息窃取，以及内部入侵等。因为在网络内部更容易获得计算机系统的权限，而且管理人员对内部的攻击往往也疏于防范。因此，解决内部网络的安全问题，越来越引起很多安全机构、科研机构及政府部们的关注。目前解决网络安全主要采取的技术手段有防火墙、入侵检测等。它们对防止外部入侵有一定的效果，但并不能完全阻止入侵者的攻击，特别对于内部安全问题的防范比较薄弱。在这种情况下，内网安全审计系统应运而生。本文主要依照TCSEC和CC制定的标准对构建一个内网安全审计系统展开了研究。首先研究了安全审计的理论，包括审计机制的提出，安全审计的诸多国内外标准等，对审计理论进行了比较全面的总结。接着对Windows下内网安全审计系统进行了详细的设计，设计了一种适合记录用户行为的审计数据格式和审计点集，以及一个适合内网行为审计的总体框架。然后对内网安全审计系统的关键功能的实现进行了讨论，采用了API钩子和GINA等技术实现了Windows下的审计数据获取。数据挖掘是一种知识发现技术，可以在大量的历史数据中发掘出有意义的模式，再通过分类算法判别当前模式和历史模式的异同。本文把数据挖掘应用于内网行为审计，提出一种基于用户行为分析的异常行为检测模型。该模式首先用关联规则和序列模式挖掘等算法建立正常的用户行为模式库，然后用相似度算法(全序列算法和相关函数算法)区分当前模式与正常模式的相似度，从而判断出当前模式是否异常。最后本文对此模型进行了实验的认证，最终得出该模型的在内网用户异常行为检测中的可行性和适用性。