针对APT攻击网络流量难以获得，模拟的数据与现实又很难匹配的问题，本文提出了一种基于动态行为和静态特征结合的APT攻击检测方法。首先采用Noriben沙箱提取待测软件的进程行为、文件行为、注册表行为和网络行为构建动态行为特征集，基于Transformer-Encoder算法识别APT恶意软件的准确率达到了95.8%。然后对识别出的APT恶意软件进行组织分类，提取软件调用的DLL（Dynamic Link Library）和API（Application Programming Interface），并组合成DLL：API的特征形式，将1D-CNN（One dimensional Convolutional Neural Networks）算法应用于APT恶意软件组织分类的准确率达到了98.7%，比之前的方法提高了5个百分点。最后与热门的深度学习算法和机器学习算法的实验效果做对比，数据表明，本文方法相比其他方法，准确率有较大提升。