日益增多的未知攻击手段对内网造成安全威胁，提出了一种基于内网行为分析的未知攻击手段检测模型。借助对内网信息资源充分可知的优势，首先，收集内网信息资源资料；然后，分析内网信息节点的行为异常风险要素；最后，以信息节点与信息资源获取路径为要素构建检测有向图模型。通过验证，该模型可以达到预期的检测效果。