本发明实施例提供一种内部威胁检测方法及装置，该方法包括：获取用户行为信息和用户标识信息；将用户行为信息输入预设用户行为分类模型，得到用户行为分类信息；根据用户标识信息对用户行为分类信息进行分析，得到内部威胁检测结果；其中，预设用户行为分类模型是基于用户行为训练样本集训练得到。用户行为训练样本集中包括多个维度的数据信息，确保了多个维度的数据分析。预设用户行为分类模型通过长短期记忆网络中的门控单元学习隐藏层，挖掘隐藏用户行为信息，实现整体上的挖掘用户的行为模式，然后判断每个用户标识信息对应的用户行为信息是否被正确分类到该用户标识信息，若分类的准确率低于预设阈值，则发出内部威胁预警。