本发明公开了一种基于多源数据融合的特定网络行为分析方法和系统，首先，在局域网流量中采集域名解析数据，同时获取固定IP基础资源信息，并搜集特定网络行为域名情况，建立三张数据表；接着，将三张表进行关联融合，获得特定网络行为下的设备访问记录；最后，以设备号为主数据，统计某时间段内对目标网络地址的访问行为情况，根据统计结果建立综合预警模型，筛选出存在相关行为的重点设备，并对特定网络行为域名情况进行迭代更新。该发明由局域网域名解析数据、IP基础资源数据和特定网络行为域名数据关联融合成设备行为记录数据，进而实现在单位内部网络被“黑客”劫持情况下的综合行为预警和重点设备筛选功能。