为了应对电力系统中日趋严重的安全问题，阐述了僵尸网络在电力二次系统中部署和传播的可能性，分析了僵尸网络在活动时产生的报文特征和流量的行为特性，并针对电力二次系统僵尸网络的特点，提出了两种可部署于网络分析仪的僵尸网络检测方法，分别是基于深度包检测技术的异常协议识别方法和基于循环自相关和Xmeans聚类的流序列特征分析方法。实验证明，这两种方法均具有良好的检测效果，其中，异常协议识别方法在特定场景下将失效，而流序列特征分析方法具有更好的通用性。